Un fallo crítico de OpenSSH pone en riesgo Alpine

OpenSSH ha publicado una nueva versión con una mitigación urgente para una vulnerabilidad crítica que afecta a sistemas Linux que usan la biblioteca musl libc y no usan PAM para la autenticación por contraseña. Alpine Linux, muy popular como base de imágenes de contenedores, es el ejemplo que citan los propios desarrolladores. Lo recoge LWN.net.

Quién está afectado

Según el mensaje de Damien Miller, desarrollador de OpenSSH, el fallo no existe en:

• Sistemas que no son Linux.
• Distribuciones Linux con glibc, que son la mayoría de las de escritorio y servidor más extendidas.
• Sistemas Linux que usan PAM para la autenticación por contraseña.

El riesgo se concentra, por tanto, en combinaciones de Linux con musl y sin PAM, como Alpine. Eso incluye servidores, máquinas virtuales y contenedores basados en esa distribución que ejecuten sshd.

Qué hacer ya

La recomendación de Miller es tajante: quien administre un sistema así debe dejar de leer y configurar PasswordAuthentication no en sshd, es decir, desactivar el acceso por contraseña y quedarse con la autenticación por clave. Además, conviene actualizar OpenSSH en cuanto la versión corregida llegue a los repositorios.

El proyecto Alpine ha anunciado que llevará el arreglo de OpenSSH a versiones anteriores «hasta Alpine 3.16», de modo que las ramas antiguas que siguen en uso también recibirán la corrección.

Y si un contenedor no necesita SSH, no hay motivo para tener sshd escuchando: cada servicio expuesto es una puerta más.

Un fallo que no es del todo de OpenSSH

Miller explica que su equipo considera que la causa de fondo del error está fuera de OpenSSH, pero que están «en buena posición para ofrecer una mitigación rápidamente». No ha detallado públicamente, en el material disponible, dónde está exactamente el origen del problema ni en qué consiste el fallo.

Tampoco se sabe todavía si la vulnerabilidad se está explotando activamente ni qué puede conseguir exactamente un atacante con ella. Hasta que haya más detalles, lo prudente es tratarla como lo que sus desarrolladores dicen que es: crítica.

Fuente: LWN.net