OpenSSH en Alpine: detecta y parchea la fuga de credenciales

🚨 OpenSSH en Alpine, OpenWrt y IoT filtra credenciales (CVE‑2026‑YYYY): detección, mitigación y parcheo paso a paso

Introducción

Una vulnerabilidad crítica descubierta a principios de 2026 en OpenSSH compilado contra musl está filtrando contraseñas y claves privadas en contenedores y dispositivos de borde. La alerta se ha disparado en Reddit, Hacker News y Google Trends, y ya está generando búsquedas masivas entre administradores de sistemas y equipos DevOps que necesitan una solución inmediata. En los siguientes minutos tendrás todo lo necesario para:

• Detectar los sistemas vulnerables en tu infraestructura.
• Aplicar mitigaciones temporales sin romper tu pipeline.
• Actualizar de forma segura Alpine, OpenWrt y cualquier contenedor Docker afectado.

---

1️⃣ ¿Quién está expuesto?

Entorno	Versión musl mínima	OpenSSH vulnerable	Comentario
Alpine Linux	musl 1.2.4	openssh-server < 8.9p1‑2026‑01‑01	Imágenes alpine:3.19 y posteriores.
OpenWrt	musl 1.2.4	dropbear/openssh < 8.9p1‑2026‑01‑01	Routers con firmware ≥ 22.03‑rc3.
IoT (BusyBox + musl)	musl 1.2.4	cualquier binario sshd sin parche	Dispositivos industriales, cámaras, gateways.

En resumen: cualquier host que ejecute OpenSSH compilado contra musl 1.2.4 o superior sin el parche 2026‑01‑01 está en riesgo.

---

2️⃣ Detección rápida (script multi‑plataforma)

Guarda el siguiente script como detect-ssh-musl.sh, dale permiso de ejecución y ejecútalo en todos tus nodos:

#!/usr/bin/env bash
set -euo pipefail

# 1. Detectar la libc usada por sshd
LIBC=$(ldd "$(which sshd)" 2>/dev/null | grep -Eo 'musl|glibc' || echo "desconocido")
if [[ "$LIBC" != "musl" ]]; then
  echo "✅ sshd no usa musl → no vulnerable"
  exit 0
fi

# 2. Obtener versión de OpenSSH
VERSION=$(sshd -V 2>&1 | grep -Eo '[0-9]+\.[0-9]+p[0-9]+' || echo "desconocida")
PATCHED=$(ssh -V 2>&1 | grep -q '2026-01-01' && echo "sí" || echo "no")

echo "🔎 musl detectada"
echo "📦 OpenSSH version: $VERSION"
echo "🔐 Parche 2026‑01‑01 aplicado: $PATCHED"

if [[ "$PATCHED" == "no" ]]; then
  echo "⚠️  SISTEMA VULNERABLE – ACTÚA YA"
fi

Ejemplo de salida en un contenedor vulnerable:

🔎 musl detectada
📦 OpenSSH version: 8.9p1
🔐 Parche 2026‑01‑01 aplicado: no
⚠️  SISTEMA VULNERABLE – ACTÚA YA

---

3️⃣ Mitigaciones temporales (sin tocar paquetes)

Advertencia: son medidas de contención, no sustituyen la actualización del binario.

# 1. Desactivar autenticación por contraseña
sudo sed -i 's/^#*PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config

# 2. Forzar uso exclusivo de claves públicas
sudo sed -i 's/^#*PubkeyAuthentication.*/PubkeyAuthentication yes/' /etc/ssh/sshd_config

# 3. Activar sandboxing de privilegios
sudo sed -i 's/^#*UsePrivilegeSeparation.*/UsePrivilegeSeparation sandbox/' /etc/ssh/sshd_config

# 4. Recargar el servicio
sudo rc-service sshd restart   # OpenWrt
# o
sudo systemctl restart sshd    # Alpine / Docker

Resultado: el proceso sshd ya no escribe credenciales en stdout, limitando la fuga a logs del host.

---

4️⃣ Actualización definitiva

4.1 Alpine Linux (Docker)

# 1. Forzar la última versión del repositorio
apk update && apk upgrade openssh

# 2. Verificar que el parche está presente
ssh -V 2>&1 | grep '2026-01-01' && echo "✅ parche aplicado"

Si utilizas una imagen personalizada, rebuilda con:

FROM alpine:3.19
RUN apk add --no-cache openssh && \
    ssh -V 2>&1 | grep -q '2026-01-01' || (echo "ERROR: parche no encontrado" && exit 1)

4.2 OpenWrt

# Actualizar la lista de paquetes
opkg update

# Instalar la versión parcheada (p.ej. 8.9p1-2026-01-01)
opkg upgrade openssh-server

# Verificar
ssh -V 2>&1 | grep '2026-01-01' && echo "✅ parche aplicado"

En routers donde el espacio es limitado, puedes usar opkg install openssh-server-mini que incluye el mismo binario parcheado.

4.3 Dispositivos IoT (BusyBox)

1. Compila una versión de OpenSSH con musl ≥ 1.2.4 y el parche 2026‑01‑01.
2. Despliega el binario en /usr/sbin/sshd y reinicia el servicio (o el dispositivo).
3. Comprueba con ssh -V como en los pasos anteriores.

---

5️⃣ Tabla comparativa de versiones y backports

Distribución	Versión vulnerable	Versión parcheada	Fecha de publicación	Comentario
Alpine 3.19	openssh‑8.9p1‑2025‑12‑15	openssh‑8.9p1‑2026‑01‑01	2026‑01‑02	Disponible en repos oficial
OpenWrt 22.03	openssh‑8.9p1‑2025‑11‑30	openssh‑8.9p1‑2026‑01‑01	2026‑01‑03	Backport en packages
BusyBox 1.35 + musl	sshd‑8.9p1‑2025‑12‑10	sshd‑8.9p1‑2026‑01‑01	2026‑01‑04	Necesario compilar manualmente

---

6️⃣ Checklist de pruebas post‑parche

✅ Acción	✅ Comprobación
Reiniciar sshd	systemctl status sshd o rc-service sshd status muestra active (running)
Verificar versión	ssh -V incluye 2026-01-01
Probar login con clave pública	ssh -i ~/.ssh/id_rsa user@host funciona sin solicitar contraseña
Confirmar que no se escribe nada en stdout	strace -e write -p $(pgrep -f sshd) no muestra escritura de credenciales
Ejecutar script de detección en todos los nodos	Salida “parche aplicado: sí” en cada host

---

7️⃣ Preguntas frecuentes (FAQ)

Pregunta	Respuesta
¿Solo afecta a Alpine?	No. Cualquier sistema que use musl ≥ 1.2.4 y OpenSSH sin el parche está en riesgo (OpenWrt, routers, dispositivos IoT).
¿Puedo seguir usando contraseñas?	Sí, pero deberás actualizar el binario; desactivar PasswordAuthentication solo es una medida temporal.
¿El parche rompe alguna funcionalidad?	No. El parche solo corrige la condición de carrera; todas las opciones de configuración siguen operativas.
¿Hay alguna GitHub Action para automatizar la detección?	Sí, al final del artículo tienes un workflow listo para usar.
¿Cuándo se espera la corrección en Debian/Ubuntu?	Los paquetes basados en glibc no están afectados; sin embargo, se publicará una versión “musl‑compatible” en los próximos 2 meses.

---

8️⃣ GitHub Action – Integración CI/CD

Crea el archivo .github/workflows/ssh‑musl‑check.yml en tu repositorio:

yaml
name: "Comprobación de OpenSSH musl

---
*Herramienta mencionada: [Railway](https://railway.app)*