OpenSSH 10.6p2 corrige el bypass y Alpine exige reiniciar sshd

OpenSSH publicó la versión 10.6p2 el 5 de noviembre de 2026 para corregir un bypass de autenticación que afecta a algunas configuraciones de Linux con musl y PAM desactivado. En Alpine, actualizar el paquete no basta: hay que reiniciar sshd para que el servicio en ejecución cargue la corrección. OpenSSH

Qué corrige OpenSSH 10.6p2

El fallo permite que, bajo una combinación concreta de ajustes y cuentas, alguien que pueda conectarse al servicio SSH acceda a una cuenta cuyo campo de contraseña contiene *. Alpine describe una entrada de entre 257 y 1.024 bytes; no es un fallo que afecte por igual a cualquier instalación de Linux u OpenSSH.

OpenSSH señaló que considera que la causa está fuera de sshd, aunque el bypass se puede evitar en el propio daemon. Rich Felker, autor de musl, atribuyó el problema a un uso incorrecto por parte del programa que llama a la biblioteca. Nota de OpenSSH · Aviso de Rich Felker

Qué condiciones deben coincidir en Alpine

Según el aviso de Alpine, el sistema afectado debe ejecutar el servidor OpenSSH con musl y sin PAM, o tener UsePAM no; además, debe permitir la autenticación por contraseña con PasswordAuthentication yes. La cuenta objetivo tiene que tener * en el campo de contraseña y debe existir al menos otra cuenta local con un hash $5$ o $6$.

La cuenta marcada con * y la opción del servidor son condiciones distintas: que una cuenta esté configurada para acceder con clave no significa que la autenticación por contraseña esté desactivada en sshd. Alpine indica que la configuración vulnerable puede explotarse con una sola conexión, sin reintentos, si el puerto SSH es accesible y se cumplen los demás requisitos. Las cuentas bloqueadas cuyo campo contiene ! no están afectadas por este fallo. Aviso de seguridad de Alpine

En Alpine, la revisión correcta depende de la rama instalada, y el reinicio de sshd forma parte de la actualización efectiva.

Paquete corregido y reinicio de sshd

Alpine publicó revisiones corregidas para edge y las ramas 3.16 a 3.24. Esta es la revisión correspondiente a cada rama:

Alpine recomienda actualizar los paquetes y después reiniciar el servicio:

apk upgrade -U -a
rc-service sshd restart

La actualización por sí sola deja en ejecución el daemon que ya estaba activo. Si no es posible instalar el paquete corregido, Alpine recomienda desactivar PasswordAuthentication y reiniciar sshd. Instrucciones y revisiones de Alpine

Cuándo pueden quedar expuestas las imágenes tiny-cloud

Alpine especifica que sus artefactos oficiales tiny-cloud qcow2, VHD y AMI de las versiones 3.18.11 a 3.24.3 incluyen una cuenta alpine con el campo de contraseña * y acceso a doas sin contraseña. Según Alpine, esas imágenes son seguras en el primer arranque; las condiciones pueden darse después, cuando haya un hash $6$ en el sistema y coincidan los demás requisitos, incluida la configuración vulnerable de SSH.

Si se consigue acceder como alpine en esas condiciones, doas permite llegar a privilegios de root. Por eso, el número de versión de la imagen no basta por sí solo para determinar su estado: también importan la configuración del servidor y las cuentas presentes. Aviso de Alpine sobre las imágenes y sus condiciones

Qué revisar en los registros

Alpine recomienda buscar en /var/log/messages entradas Accepted password asociadas a cuentas que deberían carecer de contraseña. También aconseja revisar la configuración de doas, las cuentas de usuario, los archivos y las claves autorizadas. Si no se puede descartar un acceso de este tipo, Alpine recomienda tratar el sistema como comprometido.