Seguridad
El fallo «SSHole» de OpenSSH deja entrar con contraseñas de 257 a 1.024 caracteres en cuentas sin contraseña en Linux con musl sin PAM; corregido en OpenSSH 10.6p2
Un fallo antiguo de OpenSSH en Linux con musl sin PAM, como Alpine por defecto, deja entrar en cuentas sin contraseña con 257 a 1.024 caracteres. Corregido.
El fallo solo afecta a una configuración concreta, no a Linux en general. OpenSSH publicó OpenSSH portable 10.6p2 el 5 de noviembre de 2026 para corregir una elusión de autenticación apodada SSHole, rastreada como CVE-2026-123158 por algunos medios. En sistemas Linux que usan la biblioteca C musl y ejecutan sshd sin PAM, como el paquete OpenSSH por defecto de Alpine, se acepta una contraseña de 257 a 1.024 caracteres en cuentas que no deberían aceptar ninguna, incluida root en algunos sistemas. El repositorio del investigador dice que el comportamiento viene de 2016.
Lo esencial
- Quién está afectado: sshd compilado con musl libc y sin PAM, con autenticación por contraseña activada, que es el valor por defecto de OpenSSH. Se citan Alpine, OpenWrt, Buildroot y Yocto.
- Qué cuentas: aquellas cuyo campo de contraseña es solo un asterisco, es decir, cuentas bloqueadas, solo con clave y root en algunos sistemas.
- Por qué funciona: con más de 256 bytes, la función de hash de musl falla y devuelve un asterisco, que coincide con el asterisco almacenado. Una contraseña de 257 a 1.024 caracteres pasa la comprobación.
- Qué hacer: actualizar a OpenSSH 10.6p2 o al paquete corregido de su distribución, o poner PasswordAuthentication en no mientras tanto. El desarrollador de OpenSSH Damien Miller pidió actuar de inmediato.
¿Desde cuándo existe el error?
El investigador, Özgün Kültekin de Wakefield, escribe en su repositorio que existe desde 2016 y que la versión más antigua que probó, OpenSSH 7.5p1 sobre musl 1.1.16 de 2017, también estaba afectada. iTnews señala la ironía de que la corrección de un fallo de temporización con contraseñas largas preparó esta elusión. La fecha exacta de inicio es una conclusión del investigador.
¿Hay CVE y qué gravedad?
SecurityWeek e IONIX informan de CVE-2026-123158 con puntuación CVSS 3.1 de 8,1, mientras Orca Security decía que aún no tenía CVE asignado al publicar. No los conciliamos. Miller también dijo que el fallo no está en sshd sino que se explota a través de él; la corrección 10.6p2 rechaza hashes almacenados de menos de cuatro caracteres.
Lo que no está establecido
- Si hay ataques que hayan usado el fallo en la práctica: no informado en las coberturas vistas.
- El límite inferior exacto: la mayoría dice 257 bytes, algunos 256.
- Si otras distribuciones además de las citadas están afectadas: depende de musl sin PAM y contraseña activada.
- Si todos los proveedores han publicado parches: compruebe su distribución.
Tabla resumen
| Punto | Lo que se afirma a 7 de noviembre de 2026 | Fuente |
|---|---|---|
| Corregido en | OpenSSH portable 10.6p2, 5 de noviembre de 2026 | IONIX |
| Identificador | CVE-2026-123158, CVSS 8,1, según SecurityWeek e IONIX | SecurityWeek |
| Desencadenante | Contraseña de 257 a 1.024 bytes en una cuenta con campo de asterisco | iTnews |
| Condiciones | musl libc, sshd sin PAM, autenticación por contraseña activada | IONIX |
| Mitigación | PasswordAuthentication no hasta aplicar el parche | GitHub (oz9un/sshole) |
Preguntas frecuentes
¿Están afectados todos los servidores Linux?
No. Según las coberturas hace falta musl libc, sshd sin PAM y autenticación por contraseña; la mayoría de distribuciones usan glibc.
¿Me protege el acceso solo por clave?
Desactivar la autenticación por contraseña cierra el camino; la solución sigue siendo actualizar.
¿Hay parche?
Sí, OpenSSH portable 10.6p2; compruebe el paquete corregido de su distribución.
Método y límites
Fuentes consultadas el 7 de noviembre de 2026. Leímos SecurityWeek, iTnews, el repositorio de GitHub del investigador e IONIX según los devolvió la búsqueda; no probamos el fallo. Esto no es asesoramiento de seguridad para sus sistemas; siga las indicaciones de su proveedor.
Fuentes
- SecurityWeek: OpenSSH Rushes Patches for 'SSHole' Authentication Bypass (verificado el 2026-11-07)
- iTnews: Lightweight Linux distros vulnerable to *sshole password bypass (verificado el 2026-11-07)
- GitHub (oz9un/sshole): openssh on musl accepted any 257+ char password for accounts with no password (verificado el 2026-11-07)
- IONIX: SSHhole (CVE-2026-123158) and how IONIX is helping you respond (verificado el 2026-11-07)
¿Ha detectado un error en este artículo? Comuníquenoslo · Nuestra política de correcciones
