Según la firma de inteligencia de amenazas Previdian, actores maliciosos están intentando aprovechar una vulnerabilidad recién divulgada en OpenSSH que permite el inicio de sesión en cuentas que no tienen contraseña configurada.
El fallo, registrado como CVE-2026-123158 con una puntuación CVSS de 8.1 y bautizado como SSHole (o *sshole), afecta a sistemas Linux que ejecutan OpenSSH sobre la biblioteca C musl con los módulos de autenticación conectables (PAM) desactivados. Esto incluye la configuración predeterminada del servidor OpenSSH en Alpine Linux.
Un atacante no autenticado puede enviar una contraseña de tamaño excesivo para acceder a cuentas configuradas deliberadamente sin contraseñas utilizables, sin necesidad de robar credenciales ni claves SSH. El problema fue descubierto por el investigador de seguridad Ozgun Kultekin y se ha corregido en OpenSSH 10.6p2.
Origen del fallo
El problema subyacente se remonta a un parche introducido en 2016 para corregir una vulnerabilidad de enumeración de nombres de usuario identificada como CVE-2016-6210. En determinadas condiciones, el comportamiento de gestión de contraseñas de OpenSSH interpreta erróneamente una operación fallida de hash de contraseña como una autenticación exitosa, generando el mismo valor ("*") que se utiliza para indicar que una cuenta tiene la contraseña deshabilitada a nivel del sistema.
Un atacante puede desencadenar la vulnerabilidad para autenticarse en ciertas cuentas con contraseña deshabilitada utilizando una contraseña arbitraria de entre 257 y 1024 bytes, lo que provoca que el intento de hash falle y devuelva un asterisco. El demonio sshd compara entonces ese asterisco con el almacenado en el campo de contraseña de la cuenta, lo que da lugar a un inicio de sesión exitoso.
Cabe aclarar que la explotación exitosa requiere al menos una cuenta cuyo hash de contraseña sea un asterisco (*). No permite a los atacantes eludir contraseñas en cuentas con hashes de contraseña válidos.
"Un ataque SSHole exitoso otorga acceso con los permisos existentes de la cuenta comprometida", afirmó Safe Security. "Para las empresas, las consecuencias de SSHole dependen de los privilegios de la cuenta comprometida. Si bien el acceso SSH no autorizado es el impacto inmediato, los atacantes también pueden obtener acceso a credenciales de despliegue, secretos de aplicaciones e infraestructura conectada, lo que podría facilitar el movimiento lateral o la interrupción del servicio".
Es importante señalar que la vulnerabilidad no afecta a Dropbear, a las distribuciones Linux basadas en glibc, a los sistemas no Linux ni a los sistemas que verifican contraseñas mediante PAM.
Explotación observada en un honeypot
Previdian informó que observó el primer intento de explotación menos de nueve horas después de la publicación del CVE y confirmó acceso root exitoso en un honeypot que ejecutaba Alpine Linux y OpenSSH. Los datos de telemetría muestran un total de ocho intentos de explotación desde una dirección IP geolocalizada en Japón.
"La dirección IP de origen observada, 89.116.89[.]18, utilizó contraseñas de tamaño excesivo para eludir la autenticación y ejecutó comandos de reconocimiento como id, uname y hostname mediante sesiones SSH no interactivas", declaró Ryan Dewhurst, fundador y director ejecutivo de Previdian, en un comunicado compartido con The Hacker News.
Recomendaciones
Se aconseja a los usuarios afectados que instalen OpenSSH 10.6p2 o el paquete parcheado de su distribución y reinicien sshd. Alpine también recomienda investigar las entradas de registro "Accepted password for" relacionadas con cuentas que no deberían aceptar inicios de sesión con contraseña.
"Busque en /var/log/messages las líneas de sshd que indiquen 'Accepted password for' para una cuenta sin contraseña (alpine, root o cualquier usuario que solo use clave)", señaló Alpine. "Revise el uso de doas y los usuarios, archivos y claves autorizadas creados recientemente en las máquinas expuestas. Si no puede descartar un inicio de sesión, trate la máquina como comprometida".
Deja una respuesta