LO ESENCIAL EN 30 SEGUNDOS

  • OpenSSH 10.6p2, publicada el 5 de noviembre, mitiga un fallo que dejaba entrar con contraseñas de 257 a 1.024 caracteres en cuentas sin contraseña en sistemas musl sin PAM.
  • Su descubridor, Özgün Kültekin (Wakefield), dice que usó enjambres de agentes de IA, según Help Net Security; Damien Miller, de OpenSSH, afirma que hoy los agentes de IA redescubren fallos en horas.
  • La firma de inteligencia de amenazas Previdian asegura que detectó explotación menos de nueve horas después de publicarse el CVE.

El proyecto OpenSSH publicó el 5 de noviembre una versión de emergencia, la 10.6p2, para bloquear una omisión de autenticación que afecta a sistemas Linux construidos sobre la biblioteca C musl, como Alpine Linux. El problema, bautizado como "sshole" por su descubridor, Özgün Kültekin, de la firma de pruebas Wakefield, permitía iniciar sesión en cuentas que deberían rechazar contraseñas, entre ellas root y usuarios que solo admiten claves.

Cómo funciona el fallo

En musl, la función crypt() devuelve un asterisco cuando la contraseña supera los 256 bytes. Un asterisco es también lo que muchos sistemas guardan en el campo de contraseña de las cuentas que no la tienen. Al comparar ambos valores, sshd veía una coincidencia y aceptaba el acceso. Según The Hacker News y CSO Online, la explotación requiere un sshd compilado o ejecutado sin PAM, la autenticación por contraseña activada (el valor por defecto), una cuenta conocida con un asterisco en su campo de contraseña y al menos otra cuenta con un hash real. El paquete openssh-server predeterminado de Alpine cumple la primera condición. CSO señala que en algunas imágenes de Alpine para la nube el usuario por defecto tiene permisos doas sin contraseña, lo que permite llegar a root.

OpenSSH describe el cambio como una solución provisional y sitúa la causa de fondo fuera de sshd. Las distribuciones basadas en glibc, como Debian, Ubuntu y Fedora, y las configuraciones con PAM no estarían afectadas. Alpine ha publicado paquetes corregidos, y quien no pueda actualizar puede fijar PasswordAuthentication en no. Help Net Security y CSO identifican el fallo como CVE-2026-123158; The Hacker News indicó que aún no se había asignado ningún CVE cuando informó del parche.

El papel de la IA

Según Help Net Security, Kültekin afirmó que utilizó "enjambres de agentes" de IA durante su investigación y sus pruebas; no se ha informado de que atribuya el hallazgo a la IA por sí sola. En el lado defensivo, Damien Miller, de OpenSSH, dijo, según The Hacker News, que el equipo ha visto recientemente a agentes de IA volver a encontrar de forma independiente los mismos fallos, a veces en horas, lo que a su juicio hace peligrosos los embargos largos y explica la rapidez del parche.

Los atacantes también actuaron deprisa. Help Net Security informa de que Previdian detectó un primer intento menos de nueve horas después de publicarse el CVE y de que un honeypot con Alpine fue comprometido con acceso root. Su fundador, Ryan Dewhurst, sostiene que la IA está acelerando a los atacantes. Los primeros informes del 5 de noviembre no veían ataques, y se desconoce el alcance de la explotación más allá de los sensores de Previdian.