{"id":26696,"date":"2026-11-06T08:00:00","date_gmt":"2026-11-06T08:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/?p=26696"},"modified":"2026-11-13T14:24:42","modified_gmt":"2026-11-13T14:24:42","slug":"vulnerabilidad-openssh-permite-eludir-acceso-alpine","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/es\/2026\/11\/06\/vulnerabilidad-openssh-permite-eludir-acceso-alpine\/","title":{"rendered":"Una vulnerabilidad de OpenSSH permite eludir la autenticaci\u00f3n en Alpine Linux"},"content":{"rendered":"<p><strong>OpenSSH 10.6p2 corrige una vulnerabilidad que permite eludir la autenticaci\u00f3n en el servidor SSH en sistemas basados en musl como Alpine Linux. Afecta a servidores sin PAM con acceso por contrase\u00f1a permitido y una combinaci\u00f3n concreta de cuentas. Tras la actualizaci\u00f3n hay que reiniciar sshd expresamente: la versi\u00f3n por s\u00ed sola no indica la protecci\u00f3n de forma&nbsp;fiable.<\/strong><\/p>\n<div style=\"background:#003340;color:#fff;padding:32px 36px;margin:32px 0;border-radius:8px;\">\n<p style=\"color:#69d8ed;text-transform:uppercase;letter-spacing:0.08em;font-size:0.82em;font-weight:700;margin:0 0 16px;\">Lo esencial en breve<\/p>\n<ul style=\"margin:0;padding-left:20px;line-height:1.7;\">\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">OpenSSH 10.6p2 corrige una vulnerabilidad que permite eludir la autenticaci\u00f3n en sistemas basados en musl.<\/strong> Afecta a versiones anteriores con UsePAM=no y PasswordAuthentication=yes.<\/li>\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">En Alpine, la situaci\u00f3n de las cuentas decide si un sistema est\u00e1 afectado.<\/strong> Se necesita una cuenta de destino con un * en el campo de contrase\u00f1a y otra cuenta local con un hash de contrase\u00f1a SHA-256&nbsp;o&nbsp;SHA-512.<\/li>\n<li style=\"margin-bottom:0;\"><strong style=\"color:#69d8ed;\">La actualizaci\u00f3n incluye reiniciar sshd.<\/strong> Los paquetes parcheados de Alpine conservan n\u00fameros de versi\u00f3n antiguos: la versi\u00f3n por s\u00ed sola no revela la vulnerabilidad de forma&nbsp;fiable.<\/li>\n<\/ul>\n<\/div>\n<p style=\"border-bottom:1px solid rgba(230,227,218,0.14);padding:14px 0;margin:28px 0;font-size:0.92em;color:#b8c5ce;\"><strong style=\"color:#69d8ed;\">Relacionado:<\/strong> <a href=\"https:\/\/www.securitytoday.de\/2026\/11\/03\/oracle-stopft-1-209-luecken-mit-112-kritischen-patches\/\" target=\"_blank\" rel=\"noopener\">Oracle corrige 1.209 vulnerabilidades con 112 parches&nbsp;cr\u00edticos<\/a><\/p>\n<h2>Una vulnerabilidad con&nbsp;condiciones previas<\/h2>\n<p>Para los administradores, el servidor SSH es la puerta habitual a las m\u00e1quinas Linux remotas. Desde el 5 de noviembre est\u00e1 claro que esta puerta se puede abrir en determinados sistemas sin una contrase\u00f1a v\u00e1lida. OpenSSH 10.6p2 <a href=\"https:\/\/www.alpinelinux.org\/posts\/2026-11-05-openssh-password-authentication-bypass\/\" target=\"_blank\" rel=\"noopener\">impide que se eluda la autenticaci\u00f3n en el servidor SSH<\/a>. Est\u00e1n afectadas las versiones de OpenSSH <a href=\"https:\/\/www.openwall.com\/lists\/musl\/2026\/11\/05\/4\" target=\"_blank\" rel=\"noopener\">anteriores a 10.6p2 sobre la base de musl<\/a>, siempre que el servidor se ejecute con UsePAM=no y PasswordAuthentication=yes.<\/p>\n<p>musl es una biblioteca est\u00e1ndar de C compacta, es decir, esa capa base mediante la cual los programas bajo Linux invocan funciones elementales. Alpine Linux se apoya en musl. PAM significa Pluggable Authentication Modules y regula el inicio de sesi\u00f3n mediante m\u00f3dulos intercambiables. As\u00ed, la configuraci\u00f3n y la situaci\u00f3n de las cuentas deciden si una m\u00e1quina es&nbsp;vulnerable.<\/p>\n<div data-element=\"definition_box\" style=\"background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;padding:20px 24px;margin:32px 0;box-shadow:0 2px 10px rgba(0,0,0,0.22);\">\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\"><strong>\u00bfQu\u00e9 es PAM?<\/strong> PAM significa Pluggable Authentication Modules, una interfaz mediante la cual los servicios de Linux delegan la autenticaci\u00f3n en m\u00f3dulos intercambiables. Un servidor SSH no tiene as\u00ed que comprobar la contrase\u00f1a por s\u00ed mismo. En Alpine, OpenSSH con soporte de PAM est\u00e1 en el paquete openssh-server-pam y utiliza PAM con la opci\u00f3n UsePAM&nbsp;yes.<\/p>\n<\/div>\n<h2>Cuentas con un asterisco en el&nbsp;campo de contrase\u00f1a<\/h2>\n<p>En los sistemas Alpine, la vulnerabilidad solo puede explotarse cuando se cumplen varias condiciones. SSH se ejecuta sin PAM y permite inicios de sesi\u00f3n por contrase\u00f1a. La cuenta de destino lleva un asterisco * en el campo de contrase\u00f1a y no tiene as\u00ed ninguna contrase\u00f1a utilizable. Otra cuenta local posee un hash de contrase\u00f1a seg\u00fan el procedimiento SHA-256 o SHA-512. Bajo estos requisitos est\u00e1n afectadas las versiones de Alpine examinadas, de la 3.16 a la 3.24, igual que la rama de desarrollo&nbsp;edge.<\/p>\n<p>En las pruebas propias de <a href=\"https:\/\/blog.checkpoint.com\/exposure-management\/a-critical-ssh-password-bypass-hits-musl-based-linux\/\" target=\"_blank\" rel=\"noopener\">Check Point<\/a>, el ataque requer\u00eda adem\u00e1s otra cuenta activa con una contrase\u00f1a real. All\u00ed no bast\u00f3 un hash de contrase\u00f1a almacenado por s\u00ed solo. Quedan excluidos los sistemas que utilizan el paquete openssh-server-pam y tienen configurado UsePAM&nbsp;yes.<\/p>\n<h2>De la imagen en la nube hasta&nbsp;root<\/h2>\n<p>Una cadena de ataque completa afecta a im\u00e1genes con tiny-cloud, la herramienta que configura las instancias Alpine en la nube al arrancar. Si en una imagen afectada se ha creado un hash de contrase\u00f1a SHA-512, el inicio de sesi\u00f3n como usuario alpine tiene \u00e9xito. Desde all\u00ed, doas sin contrase\u00f1a conduce a los privilegios de root. doas es una alternativa compacta a sudo y permite a los usuarios ejecutar comandos con privilegios ampliados. As\u00ed, eludir la autenticaci\u00f3n permite obtener el control total de la&nbsp;instancia.<\/p>\n<h2>El n\u00famero de versi\u00f3n no revela el&nbsp;parche<\/h2>\n<p>Quien comprueba la situaci\u00f3n en su propio parque se topa con un problema de inventario. Los paquetes parcheados de Alpine conservan n\u00fameros de versi\u00f3n antiguos de OpenSSH. Para Alpine 3.24, el paquete corregido lleva por ejemplo la denominaci\u00f3n 10.3_p1-r2. Por eso, el n\u00famero de versi\u00f3n por s\u00ed solo no permite determinar con fiabilidad si un sistema es&nbsp;vulnerable.<\/p>\n<p>Una consulta que solo busca OpenSSH 10.6p2 se queda corta en Alpine. Para una comprobaci\u00f3n s\u00f3lida hay que considerar en&nbsp;conjunto la revisi\u00f3n del paquete, los ajustes de sshd y los campos de contrase\u00f1a de las cuentas locales.<\/p>\n<h2>Medidas inmediatas para&nbsp;operadores<\/h2>\n<p>Los operadores afectados deben actualizar OpenSSH y reiniciar despu\u00e9s sshd de forma expl\u00edcita. Donde una actualizaci\u00f3n no sea posible de inmediato, deben configurar PasswordAuthentication no y reiniciar tambi\u00e9n sshd. Con ello quedan desactivados los inicios de sesi\u00f3n por contrase\u00f1a en el servidor&nbsp;SSH.<\/p>\n<p>Tambi\u00e9n hay que revisar lo ocurrido anteriormente. Los operadores deben buscar en el registro del sistema \/var\/log\/messages inicios de sesi\u00f3n mediante contrase\u00f1a en cuentas sin contrase\u00f1a. Si no se puede descartar un acceso de este tipo, hay que tratar la m\u00e1quina como&nbsp;comprometida.<\/p>\n<h2 style=\"padding-top:64px;margin-bottom:20px;\">Preguntas frecuentes<\/h2>\n<p class=\"st-faq-hint\">Cada pregunta est\u00e1 cerrada. Un toque desbloquea la&nbsp;respuesta.<\/p>\n<details>\n<summary><strong>\u00bfDropbear tambi\u00e9n est\u00e1 afectado?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">No. La vulnerabilidad que permite eludir la autenticaci\u00f3n afecta a OpenSSH. Dropbear, un servidor SSH alternativo y compacto, no est\u00e1 afectado, igual que otros programas fuera de OpenSSH que utilizan inicios de sesi\u00f3n basados en&nbsp;contrase\u00f1a.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfEst\u00e1n en peligro los contenedores?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Los contenedores sin un sshd en ejecuci\u00f3n quedan excluidos. Por tanto, para evaluar un contenedor, lo primero es comprobar si tiene un servidor SSH&nbsp;activo.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfExiste un identificador CVE?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Seg\u00fan GitHub, la vulnerabilidad est\u00e1 registrada como <a href=\"https:\/\/github.com\/advisories\/GHSA-4fcc-vm97-gx3x\" target=\"_blank\" rel=\"noopener\">CVE-2026-123158<\/a>. La entrada del advisory es del 5 de noviembre y est\u00e1 marcada como sin verificar. Describe una vulnerabilidad que permite eludir la autenticaci\u00f3n en versiones de OpenSSH anteriores a 10.6p2 en Linux con musl y sin&nbsp;PAM.<\/p>\n<\/details>\n<p><!--ST-LOWER-CARDS lang=es--><!--\/ST-LOWER-CARDS--><\/p>\n<p style=\"font-style:italic;text-align:right;font-size:0.85em;margin-top:8px;\">Fuente de la imagen: generado por IA (noviembre 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"Una falla de OpenSSH permite eludir la autenticaci\u00f3n en sistemas musl como Alpine Linux. Los paquetes parcheados conservan versiones antiguas.","protected":false},"author":10,"featured_media":26460,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"OpenSSH","_yoast_wpseo_title":"OpenSSH: una vulnerabilidad permite eludir la autenticaci\u00f3n en Alpine Linux","_yoast_wpseo_metadesc":"Una falla de OpenSSH permite eludir la autenticaci\u00f3n en sistemas musl como Alpine Linux. Los paquetes parcheados conservan versiones antiguas.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"es","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[253],"tags":[],"class_list":["post-26696","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-actualidad"],"evm_reading_time_minutes":5,"wpml_language":"es","wpml_translation_of":26458,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/26696","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=26696"}],"version-history":[{"count":15,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/26696\/revisions"}],"predecessor-version":[{"id":27110,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/26696\/revisions\/27110"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/26460"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=26696"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=26696"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=26696"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}