El proyecto OpenSSH ha publicado la actualización urgente 10.6p2 para corregir una vulnerabilidad crítica que puede permitir eludir la autenticación por contraseña en determinadas configuraciones de Linux. La corrección incluye además varias mejoras y arreglos menores ya integrados en la rama estable.
Qué falla y qué sistemas están afectados
La vulnerabilidad se da en situaciones en las que OpenSSH se compila y ejecuta con el soporte de PAM (Pluggable Authentication Modules) desactivado. Las notas del proyecto señalan de forma explícita que las compilaciones que usan musl libc sin PAM están entre las afectadas. En esos entornos, un atacante podría aprovechar el demonio del servidor OpenSSH (sshd) para evitar la comprobación de contraseñas.
Medida aplicada: mitigación dentro de sshd
Los desarrolladores indican que la causa raíz del problema no reside en OpenSSH en sí, pero han implementado un parche en sshd que actúa como solución para impedir la explotación práctica de la falla. Dado el carácter crítico, recomiendan a los administradores de sistemas con configuraciones afectadas aplicar la actualización tan pronto como los paquetes estén disponibles en sus distribuciones.
Otras correcciones y novedades en 10.6p2
- Se incorpora soporte para el algoritmo de firma híbrido post-cuántico ssh-mldsa44-ed25519 como algoritmo de firma permitido para autoridades de certificación (CA).
- Se corrige un breve bucle de CPU de menos de un segundo que podía producirse cuando la opción ChannelTimeout está habilitada.
- Se solucionan comportamientos inesperados cuando las señales SIGINT o SIGQUIT interrumpen la entrada de frases de paso en las herramientas cliente ssh, ssh-add y ssh-keygen.
- Se mantiene la deprecación ya anunciada de la opción -R de scp para copias remotas a remotas que ejecutan scp en un host remoto; a partir de OpenSSH 10.6 la opción emite una advertencia y en una versión futura será ignorada en favor de la transferencia vía host local.
Política de actualizaciones de seguridad: ritmo más frecuente
Los responsables del proyecto también han comunicado un cambio en su enfoque sobre parches de seguridad. Debido al aumento de informes de vulnerabilidades generados o asistidos por inteligencia artificial, y al hecho de que algunos informes válidos se vuelven a identificar de forma independiente por distintos investigadores, OpenSSH optará por publicar correcciones de seguridad con mayor frecuencia en lugar de retenerlas hasta la siguiente versión programada.
Qué deben hacer administradores y responsables de sitios
Si su servidor ejecuta OpenSSH compilado sin soporte PAM —por ejemplo, en sistemas con musl libc u otras distribuciones personalizadas— debe planificar la actualización urgente a 10.6p2 cuando su distribuidor publique los paquetes. Si utiliza paquetes proporcionados por la distribución, vigile sus canales de actualización y aplique la versión empaquetada tan pronto esté disponible. En instalaciones compiladas a mano, recompile OpenSSH con la nueva fuente 10.6p2 o considere compilar con soporte PAM si esa opción está disponible y es adecuada para su entorno.
Para entornos de producción, aplique la actualización primero en servidores de prueba y revise los registros de autenticación tras el despliegue. Como buena práctica general, supervise los intentos de acceso fallidos y compruebe la integridad de las cuentas con acceso remoto.
Resumen: OpenSSH 10.6p2 cierra un bypass crítico de autenticación por contraseña en configuraciones sin PAM (notablemente con musl libc), añade mejoras y cambia su política para publicar parches de seguridad con mayor frecuencia.
Lee también:
- SonicWall no parcheará dos fallos en su GMS EoL que pueden exponer archivos y alterar bases de datos
- Sysdig lanza defensa en tiempo de ejecución para gobernar a agentes de IA
Fuente: Linuxiac
