Una vulnerabilidad crítica ha sido detectada en Alpine Linux y en el paquete OpenSSH que utiliza la biblioteca musl, poniendo en riesgo la seguridad de servidores que ejecutan estas versiones. Según informó Alpine Linux en un comunicado oficial, esta falla permite a un atacante acceder a cuentas protegidas sin necesidad de autenticación válida, simplemente enviando una contraseña de entre 257 y 1024 bytes, lo que provoca un bypass de seguridad.
Detalles técnicos y alcance de la vulnerabilidad
El problema radica en la función crypt() de la biblioteca musl, que al procesar contraseñas largas devuelve un indicador de error representado por un asterisco "*". Esta cadena coincide con el valor almacenado en cuentas sin contraseña, como las configuradas para acceso solo por clave pública, permitiendo que el sistema interprete erróneamente la autenticación como exitosa.
Alpine Linux confirmó que todas las versiones desde la 3.16 hasta la 3.24, incluyendo ramas estables y edge, están afectadas si se cumplen las siguientes condiciones: uso del paquete openssh-server sin PAM, PasswordAuthentication habilitado y la existencia de al menos una cuenta con contraseña almacenada en hash tipo 5 o 6.
Te puede interesar
TecnologíaGuía definitiva de regalos tecnológicos para la temporada navideña 2026Digital Trends presenta una selección de 32 productos tecnológicos probados para regalar en estas fiestas, desde gadgets…Leer la nota Distribuciones y sistemas afectados
Además de Alpine Linux, otras distribuciones basadas en musl podrían estar en riesgo, como Adélie Linux, Void Linux, Sabotage Linux, OpenWrt y sistemas derivados del proyecto Yocto, utilizado para distribuciones embebidas. Wind River Linux, una distribución comercial embebida, está evaluando el impacto y tomando medidas según un portavoz de la empresa.
Medidas recomendadas y parches disponibles
Alpine Linux publicó actualizaciones de seguridad para las versiones afectadas, incluyendo las ramas 3.21.10, 3.22.8, 3.23.8 y 3.24.4, que incorporan la corrección en OpenSSH. Se recomienda realizar la actualización mediante el comando apk upgrade -U -a y reiniciar el servicio SSH con rc-service sshd restart para aplicar los cambios.
En caso de no poder actualizar inmediatamente, Alpine aconseja deshabilitar la autenticación por contraseña (PasswordAuthentication no) y confirmar que el acceso por clave funciona correctamente antes de reiniciar el servicio.
Contexto y recomendaciones para administradores
Esta vulnerabilidad, identificada como CVE-2026-123158, ha estado oculta desde 2016 y representa un riesgo elevado debido a la facilidad de explotación y la posibilidad de acceso sin necesidad de múltiples intentos. Los administradores deben revisar los registros de acceso en /var/log/messages para detectar entradas sospechosas de inicio de sesión con contraseña en cuentas sin contraseña y monitorear el uso de herramientas como doas y la creación reciente de usuarios o claves autorizadas.
Alpine destacó que las imágenes oficiales tiny-cloud, versiones 3.18.11 a 3.24.3, son especialmente vulnerables debido a configuraciones predeterminadas que incluyen un usuario alpine con campo de contraseña "*" y acceso sin contraseña mediante doas. Estas imágenes son seguras en el primer arranque, pero se vuelven vulnerables una vez que se añade cualquier usuario con contraseña.
