sshole: fallo de OpenSSH en Alpine Linux permite entrar sin contraseña

Cómo funciona el fallo

En Linux, cuando el campo de contraseña de una cuenta en /etc/shadow contiene un asterisco (*), la autenticación ordinaria por contraseña debería quedar bloqueada, aunque otros métodos, como las claves criptográficas, sigan funcionando. Según Kültekin, el error aparece cuando OpenSSH comprueba una contraseña para una cuenta así: al no hallar los datos necesarios, usa los de otra cuenta para la verificación.

Si la contraseña tiene entre 257 y 1.024 bytes, la función de musl que la procesa devuelve un asterisco para indicar un error. Como la cuenta protegida también tiene un asterisco, el servidor interpreta ambos valores como coincidentes y permite el acceso.

El origen se remonta a varios cambios. En 2012, musl modificó cómo comunica ciertos errores y fijó un límite de longitud para evitar ataques de denegación de servicio. Cuatro años después, OpenSSH introdujo cambios para impedir averiguar qué usuarios existen midiendo tiempos de respuesta. En 2022, Alpine ajustó la configuración de su cuenta de administrador para permitir el acceso con claves SSH. Eran soluciones a problemas distintos que acabaron interactuando de forma imprevista.

Quién está afectado

Usar Alpine no implica ser vulnerable. Según Check Point, deben cumplirse varias condiciones a la vez: OpenSSH funciona sin PAM, admite contraseñas y encuentra una cuenta con asterisco. Además, debe existir otra cuenta local activa con un hash generado con SHA-256 o SHA-512. Los sistemas sin autenticación por contraseña o que usan PAM quedan fuera.

Las consecuencias son graves si la cuenta comprometida tiene permisos elevados. Alpine cita imágenes oficiales para la nube donde el usuario alpine puede ejecutar comandos de administrador con doas sin contraseña. Son seguras en el primer arranque, pero pueden volverse vulnerables si luego se configura una cuenta con un hash compatible. Ya hay indicios de explotación: Previdian asegura haber detectado ocho intentos desde una misma IP y confirmado un acceso con privilegios de administrador en un servidor señuelo.

Qué hacer

OpenSSH publicó la versión 10.6p2 y Alpine distribuyó actualizaciones para varias ramas, incluidas antiguas. Los responsables advierten de que instalar los parches no basta: hay que reiniciar el servicio SSH. Si aún no se puede actualizar, recomiendan desactivar la autenticación por contraseña y reiniciar el servicio, tras comprobar que el acceso con claves funciona.