El misterio de sshole: cómo una década de parches creó una puerta trasera en Linux

Hemos analizado a fondo el caso de sshole, un fallo que lleva oculto diez años y que demuestra que sumar capas de seguridad no siempre garantiza protección. La clave está en la interacción entre OpenSSH, la librería musl y la ausencia de PAM en Alpine Linux. Cuando SSH busca verificar una cuenta bloqueada (marcada con *), musl devuelve ese mismo símbolo si la contraseña supera los 257 bytes. El servidor, confundido, interpreta esa coincidencia como una autenticación válida. Es una paradoja técnica fascinante: lo diseñado para cerrar la puerta termina abriéndola. Desde nuestra perspectiva crítica, vemos aquí un riesgo real para servidores administrativos, aunque no todos los sistemas están expuestos. Solo aquellos que cumplen estrictamente las condiciones mencionadas. Os recomendamos actualizar cuanto antes, porque mientras tanto, vuestra contraseña podría ser inútil ante un atacante paciente.