Los dispositivos que dependen de configuraciones específicas de la distribución Alpine Linux, y posiblemente de otras distribuciones, se enfrentan a una vulnerabilidad de seguridad antigua que data de hace aproximadamente una década, la cual permite a los atacantes iniciar sesión en los dispositivos objetivo sin necesidad de introducir una contraseña.
Las raíces de la vulnerabilidad, denominada *sshole, residen en la forma en que la biblioteca OpenSSH, responsable de las conexiones SSH, interactúa con la biblioteca musl, una alternativa ligera a la biblioteca libc utilizada en la distribución Alpine. Para que la vulnerabilidad se manifieste, OpenSSH con musl no debe utilizar el marco de autenticación PAM, además de cumplirse condiciones adicionales como la existencia de una cuenta de usuario protegida por una contraseña cifrada mediante las funciones SHA256 o SHA512, y que la cuenta esté configurada sin contraseña mediante la colocación de un asterisco en el archivo de configuración.
¿Qué cambia en la práctica?
Cuando se cumplen todas las condiciones anteriores, un atacante que logre acceder al puerto SSH puede iniciar sesión simplemente introduciendo más de 256 caracteres en el campo de la contraseña. Los desarrolladores de la distribución Alpine confirmaron que el ataque se realiza desde una única conexión y tiene éxito cada vez sin necesidad de intentos repetidos.
La empresa de ciberseguridad Checkpoint explicó que el uso de los algoritmos de cifrado mencionados juega un papel fundamental porque el servicio sshd depende del valor de la sal (salt) de cifrado aleatorio de la cuenta en cuestión. La empresa también señaló que las cuentas de root permanecen seguras bajo la configuración predeterminada que prohíbe el inicio de sesión con contraseña, mientras que las cuentas que poseen privilegios de sudo o doas siguen siendo vulnerables.
Alcance del impacto y reparaciones
La distribución Alpine goza de una gran popularidad, utilizándose en más de mil millones de descargas de imágenes de base de Docker, además de tener una presencia destacada en dispositivos embebidos, routers, servidores y contenedores digitales. Las estimaciones de la empresa Detectify indican la existencia de millones de sistemas abiertos en el puerto 22 y, aunque un pequeño porcentaje de ellos cumple con las condiciones de la vulnerabilidad, la facilidad de escaneo hace que los riesgos sean reales.
Tanto los responsables de OpenSSH como los de la distribución Alpine han publicado actualizaciones de seguridad para solucionar el problema, mientras que las opiniones técnicas entre los desarrolladores de las bibliotecas han divergido sobre el origen principal del fallo, ya sea en OpenSSH o en musl. Ante la ausencia de un identificador CVE oficial hasta el momento, se recomienda a los técnicos y administradores de sistemas que revisen sus infraestructuras y apliquen las actualizaciones disponibles de inmediato.