Omisión de autenticación por contraseña en OpenSSH de Alpine Linux
Alpine Linux 3.16 a 3.24 y edge, con paquetes OpenSSH anteriores a los indicados en Solución, cuando concurran estas condiciones:
- El servidor usa openssh-server sin PAM o openssh-server-pam con UsePAM no.
- La autenticación por contraseña está habilitada.
- Existe una cuenta cuyo campo de contraseña contiene * y otra cuenta local con un hash de contraseña $5$ o $6$.
Özgün Kültekin, de Wakefield, ha informado sobre una vulnerabilidad de severidad alta. Un atacante podría iniciar sesión en cuentas sin contraseña configurada en los sistemas afectados.
Actualizar el paquete openssh a la versión corregida de la rama correspondiente:
- edge — 10.6_p2-r0.
- 3.24 — 10.3_p1-r2.
- 3.23 — 10.2_p1-r1.
- 3.22 — 10.0_p1-r11.
- 3.21 — 9.9_p2-r1.
- 3.20 — 9.7_p1-r6.
- 3.19 — 9.6_p1-r3.
- 3.18 — 9.3_p2-r4.
- 3.17 — 9.1_p1-r7.
- 3.16 — 9.0_p1-r6.
Reiniciar el servicio tras instalar el paquete con rc-service sshd restart.
Si la actualización debe aplazarse, comprobar el acceso mediante clave, establecer PasswordAuthentication no en la configuración efectiva de sshd y reiniciar el servicio. Consultar el aviso de Alpine Linux.
CVE-2026-123158: omisión de autenticación por contraseña en OpenSSH de Alpine Linux, Un atacante con acceso al puerto SSH podría iniciar sesión en cuentas sin contraseña configurada en los sistemas afectados.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-123158 | Alta | No | Alpine Linux |
