El fundador de Binance, CZ, advierte sobre una vulnerabilidad crítica de OpenSSH de 10 años

El fundador de Binance, Changpeng Zhao (CZ), ha advertido a los operadores de servidores sobre una vulnerabilidad crítica de autenticación de OpenSSH que afecta a ciertos sistemas de Alpine Linux, instándolos a instalar correcciones de seguridad después de que los desarrolladores descubrieran que la falla había existido durante casi 10 años.

Resumen

• El fundador de Binance, CZ, ha instado a los operadores de servidores a corregir de inmediato una vulnerabilidad de omisión de autenticación de OpenSSH de una década de antigüedad.
• La falla afecta a ciertos servidores Linux basados en musl que utilizan autenticación por contraseña sin protección PAM habilitada durante los inicios de sesión.
• Los atacantes podrían acceder a cuentas vulnerables utilizando contraseñas excesivas sin conocer sus credenciales reales o claves privadas.
• OpenSSH lanzó la versión 10.6p2, mientras que Alpine Linux publicó correcciones de seguridad para las versiones del sistema operativo afectadas.
• Algunas configuraciones en la nube de Alpine podrían exponer privilegios administrativos, aunque no se había informado públicamente de ninguna explotación confirmada.

En una publicación del 6 de noviembre en X, Zhao llamó la atención sobre el problema de seguridad después de que OpenSSH y Alpine Linux lanzaran correcciones el 5 de noviembre. La vulnerabilidad puede permitir a los atacantes acceder a ciertas cuentas sin conocer sus contraseñas, incluidas cuentas que normalmente están configuradas para aceptar solo claves SSH.

"Error de seguridad de OpenSSH de Alpine Linux que ha estado presente durante 10 años. Aplica las correcciones si no lo has hecho", escribió CZ.

La advertencia se refiere a una vulnerabilidad de software que afecta a algunas configuraciones de servidores. Ni la publicación de Zhao ni los avisos de seguridad establecieron que los sistemas de Binance hubieran sido comprometidos a través de la falla.

Error de seguridad de OpenSSH de Alpine Linux que ha estado presente durante 10 años. Aplica las correcciones si no lo has hecho. https://t.co/uy2BypIR4a --- CZ 🔶 BNB (@cz_binance) 6 de noviembre de 2026

La falla de OpenSSH permite acceso no autorizado a servidores Linux vulnerables

Según un aviso de seguridad oficial, los atacantes pueden eludir la autenticación en los servidores de Alpine Linux afectados proporcionando una contraseña de entre 257 y 1,024 bytes de longitud.

La vulnerabilidad afecta a los sistemas que ejecutan OpenSSH sin Módulos de Autenticación Plugables (PAM), siempre que la autenticación por contraseña siga habilitada y existan ciertas configuraciones de cuenta.

Un atacante necesita conocer el nombre de usuario de una cuenta cuyo campo de contraseña almacenada contenga un asterisco, lo que indica que no se ha establecido ninguna contraseña. La máquina debe tener otra cuenta local con un hash de contraseña SHA-256 o SHA-512 compatible.

Bajo esas condiciones, el servidor puede aceptar la contraseña excesiva a pesar de que no coincida con credenciales legítimas. El aviso indica que la explotación requiere solo una conexión, sin intentos repetidos de adivinar la contraseña.

Sin embargo, no todos los servidores de Alpine Linux son vulnerables. Los sistemas que utilizan PAM para las verificaciones de contraseña, aquellos con la autenticación por contraseña deshabilitada y los contenedores sin un servidor SSH en funcionamiento no están afectados.

La falla puede extenderse más allá de Alpine a otras distribuciones de Linux que utilizan musl libc, incluidas ciertas configuraciones de OpenWrt, Buildroot y Yocto.

OpenWrt normalmente utiliza Dropbear para conexiones SSH, que el investigador dijo que no se ve afectado por este problema en particular.

Un investigador de seguridad explica un error de autenticación de hace una década

El investigador de seguridad Özgün Kültekin de Wakefield identificó la vulnerabilidad, a la que llamó "*sshole", y rastreó sus orígenes a cambios realizados entre 2012 y 2016.

En su informe técnico, Kültekin explicó que la función de hash de contraseña de musl devuelve un asterisco cuando las contraseñas superan su límite de procesamiento de 256 bytes.

OpenSSH puede tomar la sal de contraseña de otra cuenta al verificar cuentas sin hashes de contraseña válidos. La combinación crea una situación en la que el asterisco devuelto coincide con el campo de contraseña almacenado, permitiendo que un inicio de sesión no válido tenga éxito.

El investigador vinculó el comportamiento a un cambio de OpenSSH introducido en julio de 2016 para abordar un problema de seguridad separado relacionado con el descubrimiento de nombres de usuario.

OpenSSH reconoció la vulnerabilidad en sus notas de lanzamiento, pero atribuyó la causa subyacente a un código fuera del servidor SSH.

"Consideramos que la causa raíz de este error está fuera de sshd", declaró el equipo de desarrollo en su aviso de seguridad.

Los desarrolladores describieron la nueva versión como una solución alternativa que evita que el error de autenticación otorgue acceso.

Las imágenes en la nube de Alpine Linux enfrentan posible acceso root

Ciertas imágenes en la nube de Alpine Linux presentan otra preocupación porque una cuenta expuesta a través de la vulnerabilidad puede tener permisos administrativos.

El aviso de Alpine identifica las imágenes tiny-cloud de las versiones 3.18.11 a 3.24.3 como potencialmente afectadas. Su cuenta alpine predeterminada tiene acceso sin contraseña a la utilidad doas, que permite a los usuarios ejecutar comandos con privilegios administrativos.

Aunque esas imágenes no son vulnerables en su primer arranque, agregar una cuenta con un hash de contraseña compatible puede crear las condiciones para la explotación.

Un atacante que acceda con éxito a la cuenta alpine podría usar sus permisos existentes para obtener acceso root.

El aviso distingue estas configuraciones de los sistemas donde los inicios de sesión directos como root siguen restringidos. La configuración predeterminada de OpenSSH impide el acceso root basado en contraseña, aunque otra cuenta administrativa comprometida aún podría proporcionar privilegios elevados.

La divulgación llega mientras CZ ha continuado emitiendo advertencias de seguridad a los usuarios de criptomonedas. El 5 de noviembre, crypto.news informó sobre su advertencia acerca de un sitio web fraudulento de Trust Wallet diseñado para engañar a los usuarios para que conecten sus billeteras.

OpenSSH lanza solución de seguridad de emergencia

OpenSSH lanzó la versión 10.6p2 el 5 de noviembre para abordar la omisión de autenticación. Alpine Linux publicó paquetes corregidos que cubren las versiones actuales y versiones anteriores que datan desde 3.16.

Su aviso instruye a los administradores a actualizar los paquetes afectados y reiniciar el servicio SSH, ya que instalar una actualización por sí sola no reemplaza un proceso de servidor en ejecución.

Para los operadores que no puedan actualizar de inmediato, los desarrolladores recomiendan deshabilitar la autenticación por contraseña configurando PasswordAuthentication no y reiniciando sshd después de confirmar que el acceso por clave SSH funciona.

Alpine identificó las versiones 3.21.10, 3.22.8, 3.23.8 y 3.24.4 como lanzamientos que contienen los paquetes corregidos.

Se aconsejó a los administradores revisar los registros de autenticación SSH en busca de accesos inesperados basados en contraseña a cuentas que no deberían aceptar contraseñas.

El aviso de seguridad indicó que los operadores que no puedan descartar el acceso no autorizado deben tratar la máquina afectada como comprometida.