Vulnerabilidad crítica en Linux permite acceso sin contraseña
Brecha de seguridad sin precedentes en sistemas Linux
Un fallo crítico catalogado como CVE-2026-123158 ha puesto en evidencia una grave vulnerabilidad en sistemas Linux que permite el acceso remoto sin necesidad de conocer una contraseña válida. Esta vulnerabilidad sin contraseña afecta específicamente a configuraciones de Alpine Linux que combinan OpenSSH con la biblioteca musl, eliminando al mismo tiempo el mecanismo PAM de autenticación. El descubrimiento, realizado por el investigador Özgün Kültekin de Wakefield, representa un riesgo excepcional para la seguridad de infraestructuras en la nube y servidores empresariales.
El problema ha permanecido latente durante una década, ocultándose en la interacción inadvertida entre diferentes componentes del sistema. Tanto OpenSSH como Alpine Linux liberaron parches correctivos el 5 de noviembre para detener la explotación de este vector de ataque sin precedentes.
¿Cómo funciona esta vulnerabilidad sin contraseña?
Para comprender el mecanismo de esta vulnerabilidad sin contraseña, es necesario conocer el protocolo SSH, utilizado ampliamente para administrar servidores de forma remota. OpenSSH proporciona dos métodos de autenticación: contraseñas y claves criptográficas. En sistemas Linux, el archivo /etc/shadow almacena datos de verificación de contraseñas, marcando con un asterisco (*) aquellas cuentas donde la autenticación por contraseña debe estar desactivada.
Según detalla Kültekin en su análisis técnico, el fallo emergen cuando OpenSSH valida una contraseña para una cuenta que debería rechazarla. Al no encontrar los datos necesarios en esa cuenta, el sistema utiliza información de otra cuenta para ejecutar la verificación. Cuando la contraseña introducida posee entre 257 y 1.024 bytes, la función de procesamiento en musl devuelve un asterisco para indicar error. Dado que ese mismo símbolo aparece en la cuenta protegida, el servidor interpreta ambos valores como coincidentes, permitiendo paradójicamente el acceso.
Cadena de eventos que originó la brecha
La génesis de esta vulnerabilidad sin contraseña se remonta a modificaciones separadas realizadas en diferentes años. En 2012, musl cambió su método de comunicación de errores e implementó límites de longitud en el procesamiento de contraseñas para prevenir ataques de denegación de servicio. Cuatro años después, OpenSSH introdujo ajustes para evitar la enumeración de usuarios midiendo tiempos de respuesta. Finalmente, en 2022, Alpine reconfiguró su cuenta administrativa para permitir acceso mediante claves SSH. Estas soluciones independientes a problemas distintos acabaron interactuando de forma imprevista.
¿Qué sistemas están realmente en riesgo?
No todos los equipos Linux enfrentan el mismo nivel de peligro frente a esta vulnerabilidad sin contraseña. La firma de ciberseguridad Check Point señala que la brecha requiere múltiples condiciones simultáneas: OpenSSH debe funcionar sin PAM, permitir autenticación por contraseña y encontrar una cuenta con el asterisco de bloqueo. Simultáneamente, debe existir otra cuenta local activa con un hash de contraseña generado mediante SHA-256 o SHA-512. Los sistemas que desactivan completamente la autenticación por contraseña quedan fuera de riesgo, al igual que aquellos utilizando PAM para gestionar la autenticación.
Las consecuencias adquieren gravedad extrema cuando la cuenta comprometida posee permisos elevados. Alpine proporciona un ejemplo ilustrativo: ciertos contenedores Docker oficiales permiten al usuario alpine ejecutar comandos administrativos mediante doas sin requerir contraseña. Aunque seguros en su primer arranque, pueden volverse vulnerables si posteriormente se configura una cuenta con hash compatible. Un atacante podría entonces controlar completamente el sistema.
Evidencia de ataques activos
Ya existen pruebas reales de explotación de esta vulnerabilidad sin contraseña. La empresa Previdian reportó haber identificado ocho intentos de acceso desde una misma dirección IP y confirmó un acceso exitoso con privilegios administrativos en uno de sus servidores señuelo utilizados para detectar intrusiones.
Respuesta de seguridad y recomendaciones
La industria ha reaccionado con celeridad al descubrimiento. OpenSSH publicó la versión 10.6p2 el 5 de noviembre específicamente para corregir esta vulnerabilidad sin contraseña. Alpine distribuyó actualizaciones para múltiples ramas de su sistema, incluyendo versiones antiguas aún en uso. Sin embargo, los desarrolladores enfatizan que simplemente instalar parches resulta insuficiente: es imperativo reiniciar el servicio SSH para que implemente el código corregido.
Para organizaciones incapaces de actualizar inmediatamente, Alpine recomienda desactivar temporalmente la autenticación mediante contraseña y reiniciar el servicio SSH, previa verificación de que el acceso mediante claves criptográficas funciona correctamente. Esta medida mitiga el riesgo mientras se prepara la implementación de parches completos.
Lecciones sobre complejidad en sistemas
Este incidente subraya una realidad crítica de la seguridad informática: soluciones bien intencionadas a problemas independientes pueden producir intersecciones inesperadas con consecuencias graves. Cada modificación en 2012, 2016 y 2022 fue implementada con propósitos legítimos de seguridad, sin embargo, su interacción acumulativa generó una vulnerabilidad sin contraseña que permaneció oculta durante una década. Este descubrimiento refuerza la importancia de análisis de seguridad integral y pruebas exhaustivas en infraestructuras complejas.
