El fundador de Binance, Changpeng Zhao (CZ), ha advertido a los operadores de servidores sobre una vulnerabilidad crítica de autenticación en OpenSSH que afecta a ciertos sistemas Alpine Linux, instándoles a instalar las correcciones de seguridad después de que los desarrolladores descubrieran que el fallo había existido durante casi 10 años.
Resumen
- El fundador de Binance, CZ, ha instado a los operadores de servidores a parchear de inmediato una vulnerabilidad de omisión de autenticación en OpenSSH que lleva una década presente.
- El fallo afecta a ciertos servidores Linux basados en musl que utilizan autenticación por contraseña sin la protección de PAM habilitada durante los inicios de sesión.
- Los atacantes podrían acceder a cuentas vulnerables utilizando contraseñas de gran tamaño sin conocer sus credenciales reales ni sus claves privadas.
- OpenSSH publicó la versión 10.6p2, mientras que Alpine Linux publicó correcciones de seguridad para las versiones del sistema operativo afectadas.
- Algunas configuraciones de nube de Alpine podrían exponer privilegios administrativos, aunque no se había reportado públicamente ninguna explotación confirmada.
En una publicación del 6 de noviembre en X, Zhao llamó la atención sobre el problema de seguridad después de que OpenSSH y Alpine Linux publicaran correcciones el 5 de noviembre. La vulnerabilidad puede permitir a los atacantes acceder a ciertas cuentas sin conocer sus contraseñas, incluidas las cuentas normalmente configuradas para aceptar solo claves SSH.
"Error de seguridad de OpenSSH en Alpine Linux que ha estado ahí durante 10 años. Apliquen las correcciones si no lo han hecho", escribió CZ.
La advertencia se refiere a una vulnerabilidad de software que afecta a algunas configuraciones de servidor. Ni la publicación de Zhao ni los avisos de seguridad establecieron que los sistemas de Binance hubieran sido comprometidos mediante el fallo.
El fallo de OpenSSH permite el acceso no autorizado a servidores Linux vulnerables
Según un aviso de seguridad oficial, los atacantes pueden omitir la autenticación en los servidores Alpine Linux afectados proporcionando una contraseña de entre 257 y 1.024 bytes de longitud.
La vulnerabilidad afecta a los sistemas que ejecutan OpenSSH sin Módulos de Autenticación Enchufables (PAM), siempre que la autenticación por contraseña permanezca habilitada y existan ciertas configuraciones de cuenta.
Un atacante necesita conocer el nombre de usuario de una cuenta cuyo campo de contraseña almacenado contenga un asterisco, lo que indica que no se ha establecido ninguna contraseña. La máquina debe tener otra cuenta local con un hash de contraseña compatible SHA-256 o SHA-512.
En esas condiciones, el servidor puede aceptar la contraseña de gran tamaño aunque no coincida con credenciales legítimas. El aviso indica que la explotación requiere solo una conexión, sin intentos repetidos de adivinar la contraseña.
Sin embargo, no todos los servidores Alpine Linux son vulnerables. Los sistemas que utilizan PAM para la verificación de contraseñas, aquellos con la autenticación por contraseña deshabilitada y los contenedores sin un servidor SSH en ejecución no se ven afectados.
El fallo puede extenderse más allá de Alpine a otras distribuciones de Linux que utilizan musl libc, incluidas ciertas configuraciones de OpenWrt, Buildroot y Yocto.
OpenWrt normalmente utiliza Dropbear para las conexiones SSH, que, según el investigador, no se ve afectado por este problema en particular.
Un investigador de seguridad explica un error de autenticación de hace una década
El investigador de seguridad Özgün Kültekin, de Wakefield, identificó la vulnerabilidad, a la que denominó "*sshole", y rastreó sus orígenes hasta cambios realizados entre 2012 y 2016.
En su informe técnico, Kültekin explicó que la función de hash de contraseñas de musl devuelve un asterisco cuando las contraseñas superan su límite de procesamiento de 256 bytes.
OpenSSH puede tomar prestada la sal de contraseña de otra cuenta al verificar cuentas sin hashes de contraseña válidos. La combinación crea una situación en la que el asterisco devuelto coincide con el campo de contraseña almacenado, permitiendo que un inicio de sesión no válido tenga éxito.
El investigador vinculó el comportamiento con un cambio en OpenSSH introducido en julio de 2016 para abordar un problema de seguridad separado relacionado con el descubrimiento de nombres de usuario.
OpenSSH reconoció la vulnerabilidad en sus notas de la versión, pero atribuyó la causa subyacente a código externo al servidor SSH.
“Consideramos que la causa raíz de este error está fuera de sshd”, declaró el equipo de desarrollo en su aviso de seguridad.
Los desarrolladores describieron la nueva versión como una solución alternativa que impide que el error de autenticación otorgue acceso.
Las imágenes de nube de Alpine Linux enfrentan posible acceso root
Ciertas imágenes de nube de Alpine Linux presentan otra preocupación porque una cuenta expuesta a través de la vulnerabilidad puede tener permisos administrativos.
El aviso de Alpine identifica las imágenes tiny-cloud desde las versiones 3.18.11 hasta la 3.24.3 como potencialmente afectadas. Su cuenta alpine predeterminada tiene acceso sin contraseña a la utilidad doas, que permite a los usuarios ejecutar comandos con privilegios administrativos.
Aunque esas imágenes no son vulnerables en su primer arranque, agregar una cuenta con un hash de contraseña compatible puede crear las condiciones para la explotación.
Un atacante que acceda con éxito a la cuenta alpine podría entonces usar sus permisos existentes para obtener acceso root.
El aviso distingue estas configuraciones de los sistemas donde los inicios de sesión root directos siguen restringidos. La configuración predeterminada de OpenSSH impide el acceso root basado en contraseña, aunque otra cuenta administrativa comprometida aún podría proporcionar privilegios elevados.
La divulgación llega mientras CZ ha continuado emitiendo advertencias de seguridad a los usuarios de criptomonedas. El 5 de noviembre, crypto.news informó sobre su advertencia acerca de un sitio web fraudulento de Trust Wallet diseñado para engañar a los usuarios y hacer que conecten sus billeteras.
OpenSSH publica una corrección de seguridad de emergencia
OpenSSH publicó la versión 10.6p2 el 5 de noviembre para abordar la omisión de autenticación. Alpine Linux publicó paquetes parcheados que cubren las versiones actuales y las versiones anteriores que se remontan a la 3.16.
Su aviso indica a los administradores que actualicen los paquetes afectados y reinicien el servicio SSH, ya que instalar una actualización por sí solo no reemplaza un proceso de servidor en ejecución.
Para los operadores que no puedan actualizar de inmediato, los desarrolladores recomiendan deshabilitar la autenticación por contraseña estableciendo PasswordAuthentication no y reiniciando sshd después de confirmar que el acceso con clave SSH funciona.
Alpine identificó las versiones 3.21.10, 3.22.8, 3.23.8 y 3.24.4 como las versiones que contienen los paquetes corregidos.
Se recomendó a los administradores revisar los registros de autenticación SSH en busca de acceso inesperado basado en contraseña a cuentas que no deberían aceptar contraseñas.
El aviso de seguridad indicó que los operadores que no puedan descartar el acceso no autorizado deben tratar la máquina afectada como comprometida.
