Vulnerabilidades y Avisos de Seguridad: Omisión de autenticación por contraseña en OpenSSH de Alpine Linux

Resumen de la alerta

INCIBE-CERT ha publicado el aviso INCIBE-2026-842 sobre una vulnerabilidad de severidad alta en OpenSSH para Alpine Linux. El problema, identificado como CVE-2026-123158, puede permitir que un atacante con acceso al puerto SSH inicie sesión en cuentas que no tengan una contraseña configurada.

La vulnerabilidad afecta a determinadas instalaciones de Alpine Linux en las que coinciden configuraciones concretas del servidor OpenSSH, autenticación por contraseña habilitada y una combinación específica de campos de contraseña entre cuentas locales.

La fuente indica Explotación: No. Por tanto, existe un riesgo potencial para los sistemas vulnerables, pero no se informa de explotación activa o confirmada de esta vulnerabilidad.

Recursos afectados

Están afectadas las versiones Alpine Linux 3.16 a 3.24 y la rama edge, cuando utilicen paquetes OpenSSH anteriores a las versiones corregidas y se cumplan todas las condiciones siguientes:

• El servidor utiliza openssh-server sin PAM, o bien openssh-server-pam con UsePAM no.
• La autenticación mediante contraseña está habilitada.
• Existe una cuenta cuyo campo de contraseña contiene * y otra cuenta local con un hash de contraseña $5$ o $6$.

Descripción de la vulnerabilidad

CVE-2026-123158 es una omisión de autenticación por contraseña en OpenSSH de Alpine Linux. Bajo las condiciones de configuración indicadas, el proceso de autenticación puede permitir el acceso a cuentas que no tengan una contraseña establecida.

El alcance práctico del problema depende de que el servicio SSH sea accesible para el atacante y de que el sistema reúna simultáneamente los requisitos de configuración y cuentas locales descritos en el aviso. No se indica que el problema afecte a todas las instalaciones de OpenSSH en Alpine Linux de forma indiscriminada.

Impacto y nivel de riesgo

Una explotación satisfactoria podría permitir a un atacante con acceso al puerto SSH iniciar sesión en cuentas sin contraseña configurada en sistemas afectados.

INCIBE-CERT clasifica la vulnerabilidad como alta. La prioridad de respuesta debe centrarse en los servidores Alpine Linux expuestos mediante SSH que mantengan habilitada la autenticación por contraseña y cumplan las condiciones técnicas detalladas.

No se han comunicado ataques activos ni explotación confirmada asociada a CVE-2026-123158 en la información disponible.

Solución y medidas recomendadas

La medida principal es actualizar el paquete openssh a la versión corregida correspondiente a cada rama de Alpine Linux:

• edge: 10.6_p2-r0.
• 3.24: 10.3_p1-r2.
• 3.23: 10.2_p1-r1.
• 3.22: 10.0_p1-r11.
• 3.21: 9.9_p2-r1.
• 3.20: 9.7_p1-r6.
• 3.19: 9.6_p1-r3.
• 3.18: 9.3_p2-r4.
• 3.17: 9.1_p1-r7.
• 3.16: 9.0_p1-r6.

Tras instalar la actualización, debe reiniciarse el servicio SSH mediante rc-service sshd restart.

Si la actualización debe aplazarse, el aviso recomienda comprobar el acceso mediante clave, establecer PasswordAuthentication no en la configuración efectiva de sshd y reiniciar el servicio.

Recomendaciones para organizaciones afectadas

1. Identificar los servidores con Alpine Linux 3.16 a 3.24 o edge que ejecuten OpenSSH.
2. Verificar si la versión instalada de openssh es anterior a la corrección disponible para su rama.
3. Revisar si el servicio utiliza openssh-server sin PAM o openssh-server-pam con UsePAM no.
4. Comprobar si la autenticación por contraseña está habilitada y si se cumplen las condiciones relativas a los campos de contraseña de las cuentas locales.
5. Aplicar la actualización correspondiente y reiniciar el servicio SSH.
6. Cuando no sea posible actualizar de inmediato, deshabilitar la autenticación por contraseña conforme a la medida indicada y confirmar previamente la disponibilidad de acceso mediante clave.