Omisión de autenticación por contraseña en OpenSSH de Alpine Linux
Una vulnerabilidad de severidad alta ha sido reportada en Alpine Linux que afecta a las versiones 3.16 a 3.24 y edge, relacionadas con la omisión autenticación contraseña OpenSSH Alpine Linux. El aviso fue emitido el 6 de noviembre de 2026 por INCIBE-CERT, tras la notificación realizada por Özgün Kültekin desde Wakefield.
Detalles de la vulnerabilidad en OpenSSH de Alpine Linux
La vulnerabilidad afecta a los paquetes de OpenSSH en Alpine Linux anteriores a las versiones corregidas indicadas por el fabricante. Se presenta cuando se cumplen estas condiciones específicas: el servidor utiliza openssh-server sin PAM o openssh-server-pam con la opción UsePAM no; la autenticación por contraseña está habilitada; existe una cuenta cuyo campo de contraseña contiene el carácter *; y otra cuenta local que posee un hash de contraseña con formato $5$ o $6$.
En estas circunstancias, un atacante con acceso al puerto SSH podría iniciar sesión en cuentas que no tienen contraseña configurada, lo que representa un riesgo importante para la seguridad de los sistemas afectados.
Versiones afectadas y solución propuesta
Las versiones de Alpine Linux afectadas son desde la 3.16 hasta la 3.24 y la rama edge. El fabricante ha publicado actualizaciones para corregir esta omisión autenticación contraseña OpenSSH Alpine Linux, con versiones específicas para cada rama:
- edge — 10.6_p2-r0
- 3.24 — 10.3_p1-r2
- 3.23 — 10.2_p1-r1
- 3.22 — 10.0_p1-r11
- 3.21 — 9.9_p2-r1
- 3.20 — 9.7_p1-r6
- 3.19 — 9.6_p1-r3
- 3.18 — 9.3_p2-r4
- 3.17 — 9.1_p1-r7
- 3.16 — 9.0_p1-r6
Tras instalar la actualización, se debe reiniciar el servicio SSH con el comando rc-service sshd restart para aplicar los cambios.
Medidas temporales y recomendación
En caso de que la actualización no pueda aplicarse de inmediato, INCIBE-CERT recomienda comprobar el acceso mediante clave pública y deshabilitar la autenticación por contraseña estableciendo PasswordAuthentication no en la configuración activa de sshd, seguido de un reinicio del servicio.
Importancia del aviso y seguimiento
Esta omisión autenticación contraseña OpenSSH Alpine Linux ha sido catalogada con una severidad alta, dada la posibilidad de que un atacante pueda acceder sin contraseña a ciertas cuentas. El aviso está registrado bajo el identificador CVE-2026-123158. INCIBE-CERT ha publicado esta alerta temprana para informar a los usuarios y administradores de sistemas afectados.
Para más detalles y seguimiento, se recomienda consultar el aviso oficial de Alpine Linux y la información publicada por INCIBE-CERT en su página web.
Fuente: INCIBE-CERT
Publicado: 07/11/2026.
Este artículo puede haberse elaborado con apoyo de herramientas de inteligencia artificial. Ver politica de IA
Puedes apoyar el proyecto o compartir este artículo con un clic. Aquí al menos hay una salida útil de verdad.