SSH
4 artículos con esta etiqueta
Corrección urgente de OpenSSH 10.6p2 (CVE-2026-123158): añadido al KEV de CISA; en sshd con musl sin PAM, como Alpine, se puede iniciar sesión sin la contraseña
El 5 de noviembre de 2026 OpenSSH publicó la versión 10.6p2 con una solución alternativa crítica para una elusión de la autenticación por contraseña en sshd en algunos sistemas Linux compilados y ejecutados sin PAM, en particular los que usan musl libc, como Alpine Linux. El CVE es CVE-2026-123158 (puntuación base CVSS 3.1 de 8,1, del registro CVE). El 9 de noviembre CISA lo añadió al catálogo de vulnerabilidades explotadas conocidas (KEV), con plazo del 12 de noviembre para las agencias federales de EE. UU. Una empresa privada de inteligencia de amenazas informa de que vio intentos de ataque menos de nueve horas después de la publicación y un éxito en un entorno señuelo; no se ha comunicado ningún daño en sistemas de producción y no se encontró verificación independiente. Alpine Linux publicó un aviso el 5 de noviembre con paquetes corregidos para todas las ramas. Según Alpine, un equipo está afectado cuando la autenticación por contraseña está activada, una cuenta tiene un asterisco en el campo de contraseña y otra cuenta tiene un hash normal. Las configuraciones con PAM activado, con PasswordAuthentication no, o los contenedores que no ejecutan sshd no están afectados. Conclusión de este sitio: si ejecuta sshd en Alpine u otros sistemas basados en musl, como OpenWrt o Linux integrado, actualice hoy al paquete corregido y reinicie sshd, desactive la autenticación por contraseña hasta entonces y revise los registros de autenticación.
Extensión «Claude Code» manipulada en el mercado de Cursor (29 de oct., unas 11 horas): cómo comprobar si hay una puerta trasera SSH
Cursor publicó un aviso de seguridad el 29 de octubre de 2026 (actualizado el 30 de octubre) en el que dice que las versiones manipuladas 2.1.312 y 2.1.313 de una extensión publicada con el nombre de Anthropic (Anthropic.claude-code) se distribuyeron en el mercado de extensiones de Cursor para Windows y macOS entre aproximadamente las 2:27 y las 13:35 (hora del Pacífico) del 29 de octubre. Cursor afirma que Anthropic no desarrolló esas versiones. Según Cursor, el código se ejecutaba al cargar la extensión, recogía información del equipo y del usuario, añadía una clave SSH controlada por el atacante (con la etiqueta svc-telemetry), intentaba activar SSH y abrir un túnel inverso, instalaba persistencia mediante un LaunchAgent en macOS o una tarea programada o una entrada de Inicio en Windows, y enviaba datos del equipo al atacante. Cursor dice que activar SSH falla en la mayoría de los equipos, por lo que allí el atacante no habría podido iniciar sesión por el túnel. Cursor retiró la extensión, pausó el mercado, auditó otras extensiones, rotó claves y dice que el servidor del atacante ya no funciona. Cursor dice que no tiene pruebas de que otras versiones ni la distribución oficial estén afectadas. BleepingComputer informa de que hasta unos 5.000 desarrolladores pueden haber estado expuestos. Nuestra conclusión: si instaló o actualizó esa extensión en Cursor el 29 de octubre, compruebe la clave y las entradas de persistencia, y rote los secretos accesibles desde ese equipo.
Inventario de seguridad: 7 comprobaciones que pasan por alto quienes operan varios servidores
Para operadores solos/pequeños, los incidentes vienen menos de controles ausentes que de estado sin seguimiento. La frontera es el PC que guarda tus claves. Prioriza el 2FA según qué cuenta permite recuperar las demás (el correo primero), anota qué clave SSH abre qué servidor y borra las claves duplicadas, las que no se usan y los registros sobrantes, quita las contraseñas en texto plano de la nube, remedia de forma reversible una a una, y mantén los secretos fuera del registro. Inventario antes de añadir herramientas.
Privilegio mínimo en claves SSH: mantén las claves de root de producción fuera de entornos efímeros que pueden ser comprometidos
Registrar una clave de root en producción desde un entorno efímero y comprometible (pod de GPU, runner de CI, VM desechable) significa que en el momento en que ese entorno se compromete, un atacante obtiene root en producción. Solución: sin claves de root en entornos efímeros; quita las claves cuando no se usen; si se necesita de nuevo, usa un usuario no-root más una clave restringida a un comando que limite la clave a una sola operación. Trata una clave reutilizada como tu activo más crítico y nunca construyas un montaje en el que una clave filtrada abra todos los servidores.