VULNERABILIDAD
Campaña de explotación de la falla SSHole en OpenSSH afecta a servidores Linux de Alpine
Investigadores detectaron intentos de explotación de CVE-2026-123158 menos de nueve horas después de su publicación, con acceso root confirmado en un honeypot con Alpine Linux y OpenSSH.
Se publicó la vulnerabilidad CVE-2026-123158, bautizada SSHole, con una puntuación CVSS de 8.1. Afecta a sistemas Linux que ejecutan OpenSSH sobre la biblioteca musl con los módulos de autenticación conectables (PAM) deshabilitados, incluida la configuración predeterminada del servidor OpenSSH de Alpine Linux.
Según la firma de inteligencia de amenazas Previdian, el primer intento de explotación se registró menos de nueve horas después de la publicación del CVE. La telemetría mostró un total de ocho intentos desde una dirección IP geolocalizada en Japón.
Previdian confirmó acceso root exitoso en un honeypot que ejecutaba Alpine Linux y OpenSSH. La falla permite a un atacante no autenticado ingresar a cuentas configuradas deliberadamente sin contraseña usable, sin necesidad de robar credenciales ni claves SSH.
El problema fue descubierto por el investigador de seguridad Ozgun Kultekin y corregido en OpenSSH 10.6p2. Alpine recomienda revisar los registros de 'Accepted password for' en cuentas que no deberían aceptar inicios de sesión con contraseña.
Qué se sabe
ACREDITADO
- La vulnerabilidad CVE-2026-123158 fue publicada con una puntuación CVSS de 8.1 y corregida en OpenSSH 10.6p2.
- Previdian confirmó acceso root exitoso en un honeypot con Alpine Linux y OpenSSH.
- Previdian registró ocho intentos de explotación desde una IP geolocalizada en Japón.
- El investigador Ozgun Kultekin descubrió la falla.
SIN VERIFICAR O ABIERTO
- No se identificó públicamente a los actores de amenazas detrás de los intentos de explotación.
- No se conoce el alcance de sistemas reales comprometidos fuera del honeypot.
- No está claro si los ocho intentos registrados provienen de un mismo actor o de varios.
Contexto
El origen de la falla se remonta a un parche introducido en 2016 para corregir una vulnerabilidad de enumeración de nombres de usuario identificada como CVE-2016-6210. En condiciones específicas, el manejo de contraseñas de OpenSSH interpreta erróneamente un fallo en el hash de la contraseña como una autenticación exitosa, generando el mismo valor ('*') que indica una cuenta con contraseña deshabilitada a nivel de sistema.
Un atacante puede desencadenar la vulnerabilidad autenticándose en ciertas cuentas sin contraseña usando una contraseña arbitraria de entre 257 y 1.024 bytes, lo que provoca que el intento de hash falle y devuelva un asterisco. El demonio sshd compara ese valor con el asterisco almacenado en el campo de contraseña de la cuenta, lo que resulta en un inicio de sesión exitoso.
Según Safe Security, un ataque SSHole exitoso otorga acceso con los permisos existentes de la cuenta comprometida, por lo que las consecuencias para una empresa dependen de los privilegios de esa cuenta.
Qué hacer
- Actualizar OpenSSH Instalar OpenSSH 10.6p2 o el paquete parcheado de la distribución y reiniciar el servicio sshd.
- Revisar registros de acceso Buscar entradas 'Accepted password for' en cuentas que no deberían aceptar inicios de sesión con contraseña.
- Auditar configuraciones sin contraseña Revisar cuentas con contraseña deshabilitada y verificar si el servidor usa musl con PAM deshabilitado.
- Restringir accesos SSH Limitar el acceso al servicio SSH a redes y direcciones de confianza, y monitorear intentos de autenticación anómalos.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
