Seguridad6 nov 2026, 9:29 UTC·2 min de lectura

Fallo en OpenSSH y musl: cualquier contraseña abre Alpine Linux

Un error de diez años entre OpenSSH y la biblioteca musl permite acceder a una cuenta bloqueada con cualquier contraseña de entre 257 y 1.024 caracteres.

Terminal window showing an SSH login prompt on a Linux server, symbolizing an authentication bypass vulnerability. — Imagen: Frandroid

Una nueva vulnerabilidad en la interacción entre OpenSSH y musl, una biblioteca de C, permite a un atacante entrar en una cuenta bloqueada con cualquier contraseña de entre 257 y 1.024 caracteres. Afecta a la configuración por defecto de Alpine Linux, una distribución muy extendida en la nube y en las imágenes de Docker.

El hallazgo llega poco después del fallo de PHP que dejó fuera de juego a numerosos servidores web, y vuelve a golpear una pieza básica de la infraestructura: SSH, el protocolo para conectarse a una máquina remota desde la línea de comandos.

Cómo funciona la evasión

Dicho de forma simplificada, una contraseña de esa longitud provoca un error que devuelve al sistema el carácter «*». Ese signo es el que se usa en las cuentas que no dependen de contraseña, así que el acceso se valida. Deben cumplirse otras condiciones, como una contraseña con hash SHA256 o SHA512, pero son habituales en sistemas basados en Alpine Linux.

Otros sistemas que usan los mismos componentes también podrían estar expuestos: OpenWrt en routers, y Buildroot y Yocto en dispositivos conectados.

El fallo es fácil de explotar. Hay pocas máquinas vulnerables, pero es sencillo localizar las que exponen su puerto SSH en Internet y enviarles una contraseña demasiado larga. Una sola conexión basta para saber si el acceso se abre.

Diez años sin ser detectado

Presente desde 2016, el error pasó inadvertido una década hasta que Özgün Kültekin, investigador de Wakefield, lo encontró con la ayuda de un ejército de agentes de IA. Compiló sshd en todas las configuraciones posibles (glibc, musl, con y sin PAM) y lanzó, según sus palabras, unas 17.600 conexiones extrañas: hashes raros, cuentas rotas y contraseñas excesivamente largas.

Los desarrolladores de Alpine Linux y musl ya han publicado una corrección que conviene instalar cuanto antes. Si no sabes si tus dispositivos usan Alpine Linux, lo más recomendable es actualizar tus aplicaciones Docker, tu NAS, tu televisor conectado o tu router a la última versión del sistema.