{"id":210201,"date":"2026-11-05T16:07:24","date_gmt":"2026-11-05T16:07:24","guid":{"rendered":"https:\/\/www.redeszone.net\/noticias\/seguridad\/openssh-vulnerabilidad-ssh-contrasenas-largas\/"},"modified":"2026-11-05T16:07:24","modified_gmt":"2026-11-05T16:07:24","slug":"openssh-soluciona-un-fallo-critico-en-servidores-linux-las-contrasenas-largas-permitian-saltarse-la-autenticacion","status":"publish","type":"post","link":"http:\/\/cordobadirecto.com\/index.php\/2026\/11\/05\/openssh-soluciona-un-fallo-critico-en-servidores-linux-las-contrasenas-largas-permitian-saltarse-la-autenticacion\/","title":{"rendered":"OpenSSH soluciona un fallo cr\u00edtico en servidores Linux: las contrase\u00f1as largas permit\u00edan saltarse la autenticaci\u00f3n"},"content":{"rendered":"<div data-v-707b79b7 readability=\"38\">\n<p>OpenSSH ha publicado la versi\u00f3n <strong>10.6p2<\/strong> para solucionar una vulnerabilidad cr\u00edtica que deja entrar en cuentas sin contrase\u00f1a de algunos servidores basados en Linux con credenciales extremadamente largas (m\u00e1s de 256 caracteres). El fallo afecta a las instalaciones con el paquete est\u00e1ndar <strong>openssh-server<\/strong>, compilado sin PAM, y exige que otra cuenta del sistema tenga un hash de contrase\u00f1a de tipo <strong>$5$<\/strong> o <strong>$6$<\/strong>. Alpine Linux ya ha publicado paquetes corregidos desde la versi\u00f3n <strong>3.16<\/strong>, incluidas las ramas sin soporte activo.<\/p>\n<\/div>\n<div data-v-707b79b7 readability=\"66.475138121547\"><span data-v-707b79b7 readability=\"21.297940797941\"><\/p>\n<p>El ataque funciona con una sola conexi\u00f3n si el atacante conoce el nombre de una cuenta sin contrase\u00f1a y env\u00eda una cadena de entre <strong>257 y 1.024 caracteres<\/strong>. Por ahora no se han detectado ataques reales, aunque los ajustes por defecto de Alpine dejan expuestos a bastantes servidores en la nube y contenedores.<\/p>\n<p><span class=\"space_toc\" id=\"1026025-que-servidores-linux-estan-en-riesgo\">&nbsp;<\/span><\/p>\n<h2>\u00bfQu\u00e9 servidores Linux est\u00e1n en riesgo?<\/h2>\n<p>El fallo exige cuatro condiciones a la vez: que el servidor ejecute <strong>openssh-server<\/strong> sin PAM (o <strong>openssh-server-pam<\/strong> con <strong>UsePAM no<\/strong>), que <strong>PasswordAuthentication<\/strong> est\u00e9 en <strong>yes<\/strong> (el valor por defecto en Alpine Linux y otras distribuciones), que una cuenta tenga el car\u00e1cter <strong>*<\/strong> en el campo de configuraci\u00f3n de la contrase\u00f1a, y que otra cuenta del sistema use un hash que empiece por <strong>$5$<\/strong> o <strong>$6$<\/strong>. Basta con que una sola cuenta tenga ese hash para dejar expuestas a todas las que no tienen contrase\u00f1a.<\/p>\n<p>Entre las cuentas sin contrase\u00f1a est\u00e1n los usuarios creados solo con clave SSH, los que llegan desde un servicio de directorio a trav\u00e9s de <strong>musl-nscd<\/strong>, el usuario <strong>alpine<\/strong> de las im\u00e1genes de nube construidas con <strong>tiny-cloud<\/strong> y <strong>root<\/strong>, que figura como \u00ab<strong>root:*<\/strong>\u00bb en la imagen base desde Alpine 3.16. Root est\u00e1 protegido por <strong>PermitRootLogin prohibit-password<\/strong>, aunque esa barrera no sirve de nada si una cuenta expuesta puede convertirse en root a trav\u00e9s de <strong>doas<\/strong>.<\/p>\n<figure class=\"post-article__content-img\"><picture><source media=\"(max-width: 480px)\" srcset=\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2026\/11\/openssh-soluciona-un-fallo-critico-en-servidores-linux-las-contrasenas-largas-permitian-saltarse-la-autenticacion.jpg?x=480&amp;quality=80\"><img decoding=\"async\" loading=\"lazy\" width=\"1280\" height=\"720\" src=\"http:\/\/cordobadirecto.com\/wp-content\/uploads\/2026\/11\/openssh-soluciona-un-fallo-critico-en-servidores-linux-las-contrasenas-largas-permitian-saltarse-la-autenticacion.jpg\" alt=\"Ilustraci\u00f3n de las siglas SSH junto al icono de un copo de nieve sobre un fondo de pasillo con racks de servidores.\">\n<\/picture><figcaption>Configuraci\u00f3n del protocolo SSH para la gesti\u00f3n y administraci\u00f3n remota de servidores en centros de datos. Foto: RedesZone<\/figcaption><\/figure>\n<p><\/span><span data-v-707b79b7 readability=\"27\"><\/p>\n<p>Las im\u00e1genes <strong>tiny-cloud<\/strong> de las versiones <strong>3.18.11 a 3.24.3<\/strong> dan al usuario alpine permiso \u00abdoas\u00bb (sudo) sin contrase\u00f1a. Son seguras en el primer arranque, pero basta con que aparezca un hash <strong>$6$<\/strong> en la m\u00e1quina (por ejemplo, en cuanto el administrador fija una contrase\u00f1a de consola) para que queden abiertas de par en par. A partir de ese momento, un atacante puede entrar como alpine y usar \u00abdoas\u00bb para convertirse en root. Muchos despliegues en la nube parecen seguros durante semanas, hasta que un administrador a\u00f1ade esa contrase\u00f1a de consola o crea un segundo usuario con hash $6$.<\/p>\n<p><span class=\"space_toc\" id=\"1026025-como-parchear-alpine-o-cortar-las-contrasenas-si-no-puedes-actualizar-ya\">&nbsp;<\/span><\/p>\n<h2>C\u00f3mo parchear Alpine o cortar las contrase\u00f1as si no puedes actualizar ya<\/h2>\n<p>El arreglo definitivo pasa por actualizar los paquetes y reiniciar el servicio, porque lo primero no reinicia sshd en marcha. Las versiones <strong>3.21.10<\/strong>, <strong>3.22.8<\/strong>, <strong>3.23.8<\/strong> y <strong>3.24.4<\/strong> ya traen la correcci\u00f3n (igual que la 10.6p2 si compilas OpenSSH por tu cuenta), y las ramas anteriores hasta la 3.16, aunque llevan tiempo sin soporte, tambi\u00e9n la han recibido:<\/p>\n<ul>\n<li>Actualizar los paquetes: <strong>apk upgrade -U -a<\/strong><\/li>\n<li>Reiniciar el servidor: <strong>rc-service sshd restart<\/strong><\/li>\n<\/ul>\n<p>Damien Miller, del proyecto OpenSSH, pidi\u00f3 actuar sin demora: configura \u00abPasswordAuthentication=no\u00bb o deshabilita el servidor SSH para esos equipos inmediatamente. Si no puedes actualizar todav\u00eda, vamos a explicarte c\u00f3mo cortar el acceso por contrase\u00f1a de forma manual:<\/p>\n<p><\/span><span data-v-707b79b7 readability=\"25.813707165109\"><\/p>\n<ol>\n<li>Crea un archivo en <strong>\/etc\/ssh\/sshd_config.d<\/strong> (Alpine lo lee desde la 3.19) o cambia cada l\u00ednea <strong>PasswordAuthentication de yes a no<\/strong> en \/etc\/ssh\/sshd_config.<\/li>\n<li>Valida con <strong>sshd -t<\/strong> y reinicia; <strong>sshd -T | grep -i passwordauthentication<\/strong> debe devolver passwordauthentication no.<\/li>\n<\/ol>\n<p>El aviso aconseja revisar <strong>\/var\/log\/messages<\/strong> en busca de l\u00edneas \u00ab<strong>Accepted password for<\/strong>\u00bb en cuentas que no deber\u00edan tenerla: Si no puedes descartar un inicio de sesi\u00f3n, trata la m\u00e1quina Linux como comprometida.<\/p>\n<p>El problema no es exclusivo de Alpine: afecta a cualquier sistema con la biblioteca <strong>musl<\/strong> que ejecute sshd sin PAM. Quedan fuera los sistemas no Linux, las distribuciones con glibc, los contenedores sin sshd y las cuentas bloqueadas con ! en \/etc\/shadow. <strong>\u00d6zg\u00fcn K\u00fcltekin<\/strong>, investigador de Wakefield que report\u00f3 el fallo, apunta en su an\u00e1lisis t\u00e9cnico que OpenWrt, Buildroot y Yocto tambi\u00e9n merecen revisi\u00f3n, aunque en OpenWrt el servidor SSH por defecto es Dropbear, que no est\u00e1 afectado. Puedes ver toda la informaci\u00f3n en la <a href=\"https:\/\/sshhole.com\/\" target=\"_blank\" rel=\"noopener noreferrer\"><strong>web oficial de SSH Hole<\/strong><\/a>.<\/p>\n<p>El equipo de OpenSSH conoci\u00f3 el fallo a principios de esta semana y public\u00f3 la correcci\u00f3n enseguida. Miller explic\u00f3 en el anuncio que mantener embargos largos se ha vuelto peligroso porque ayuda sobre todo a los atacantes: seg\u00fan cont\u00f3, agentes de IA han llegado a encontrar el mismo tipo de errores por su cuenta, a veces en cuesti\u00f3n de horas. El fallo, de momento, sigue sin un identificador CVE.<\/p>\n<section class=\"post-faq\" data-mrf-recirculation=\"article-faq-module\" readability=\"42\">\n<h2 class=\"post-faq__title\"> Preguntas frecuentes <\/h2>\n<details class=\"post-faq__item\" readability=\"31\">\n<summary class=\"post-faq__question\"> <span class=\"post-faq__question-text\">\u00bfQu\u00e9 es musl y por qu\u00e9 influye en este fallo de OpenSSH?<\/span> <\/summary>\n<p> Musl es la biblioteca C sobre la que est\u00e1 construido Alpine Linux, en lugar de glibc. Su funci\u00f3n crypt() devuelve un resultado especial ante contrase\u00f1as de m\u00e1s de 256 caracteres, y ese comportamiento es lo que sshd interpreta de forma err\u00f3nea al comparar contrase\u00f1as sin PAM. <\/p>\n<\/details>\n<details class=\"post-faq__item\" readability=\"31\">\n<summary class=\"post-faq__question\"> <span class=\"post-faq__question-text\">\u00bfQu\u00e9 diferencia hay entre PAM y la autenticaci\u00f3n directa de sshd?<\/span> <\/summary>\n<p> PAM es una capa que delega la comprobaci\u00f3n de contrase\u00f1as en el sistema operativo. Cuando sshd no usa PAM, verifica las credenciales por su cuenta con crypt(), que es precisamente la ruta donde aparece este fallo en sistemas basados en musl. <\/p>\n<\/details>\n<details class=\"post-faq__item\" readability=\"32\">\n<summary class=\"post-faq__question\"> <span class=\"post-faq__question-text\">\u00bfAfecta esta vulnerabilidad a sistemas que no usan Alpine Linux?<\/span> <\/summary>\n<p> Puede afectar a cualquier sistema basado en musl que ejecute sshd sin PAM, como ciertas instalaciones de OpenWrt, Buildroot o Yocto, aunque OpenWrt usa por defecto Dropbear en lugar de OpenSSH y no est\u00e1 afectado. <\/p>\n<\/details>\n<details class=\"post-faq__item\" readability=\"32\">\n<summary class=\"post-faq__question\"> <span class=\"post-faq__question-text\">\u00bfQu\u00e9 son los hashes de contrase\u00f1a $5$ y $6$ en Linux?<\/span> <\/summary>\n<p> Los hashes $5$ y $6$ identifican los algoritmos de cifrado SHA-256 y SHA-512 respectivamente, usados en el archivo \/etc\/shadow de Linux para almacenar contrase\u00f1as de forma cifrada. Son dos de los formatos m\u00e1s seguros y extendidos frente a hashes antiguos como MD5, y se reconocen por el prefijo num\u00e9rico entre signos de d\u00f3lar al inicio del campo de contrase\u00f1a. <\/p>\n<\/details>\n<details class=\"post-faq__item\" readability=\"33\">\n<summary class=\"post-faq__question\"> <span class=\"post-faq__question-text\">\u00bfQu\u00e9 es doas y en qu\u00e9 se diferencia de sudo?<\/span> <\/summary>\n<p> doas es una utilidad de escalado de privilegios similar a sudo, originaria de OpenBSD y adoptada por distribuciones como Alpine Linux por su c\u00f3digo m\u00e1s simple y reducido. Permite a un usuario ejecutar comandos como otro usuario, habitualmente root, y se configura mediante el archivo \/etc\/doas.conf en lugar del tradicional \/etc\/sudoers. <\/p>\n<\/details>\n<\/section>\n<p> <\/span><!----><!----><\/div>\n","protected":false},"excerpt":{"rendered":"<p>OpenSSH ha publicado la versi\u00f3n 10.6p2 para solucionar una vulnerabilidad cr\u00edtica que deja entrar en cuentas sin contrase\u00f1a de algunos servidores basados en Linux con credenciales extremadamente largas (m\u00e1s de 256 caracteres). El fallo afecta a las instalaciones con el paquete est\u00e1ndar openssh-server, compilado sin PAM, y exige que otra cuenta del sistema tenga un [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":210202,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[42],"tags":[],"_links":{"self":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/210201"}],"collection":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/comments?post=210201"}],"version-history":[{"count":0,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/210201\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/media\/210202"}],"wp:attachment":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/media?parent=210201"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/categories?post=210201"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/tags?post=210201"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}