https://sergiobelkin.com/esContents © 2026 <a href="mailto:sebelk@gmail.com">sebelk</a> <a rel="license" href="https://creativecommons.org/licenses/by-nc-sa/4.0/"> <img alt="Creative Commons License BY-NC-SA" style="border-width:0; margin-bottom:12px;" src="https://i.creativecommons.org/l/by-nc-sa/4.0/88x31.png"></a> Tue, 10 Nov 2026 15:44:54 GMTNikola (getnikola.com)http://blogs.law.harvard.edu/tech/rsshttps://sergiobelkin.com/posts/sshole-openssh-musl/sebelk<figure><img src="https://sergiobelkin.com/images/sshole-preview.png"></figure> <div><p>El 5 de noviembre de 2026, OpenSSH 10.6p2 corrigió un solo problema: en algunos sistemas Linux, una cuenta <strong>sin contraseña</strong> aceptaba cualquier contraseña de entre 257 y 1024 bytes. Es el CVE-2026-123158, que su descubridor, Özgün Kültekin, llamó <em>SSHole</em>. Según las <a href="https://www.openssh.org/releasenotes.html">notas de la versión</a>, la causa no está en <code>sshd</code>, aunque <code>sshd</code> puede evitarla.</p> <p>No hace falta corromper memoria ni romper la criptografía. Son tres decisiones que en principio se podrían considerar razonables, tomadas por separado entre 2012 y 2016, y que terminaron poniendo el mismo carácter, <code>*</code>, a los dos lados de un <code>strcmp</code>, la función de C que compara dos cadenas y da 0 cuando son iguales.</p> <p><a href="https://sergiobelkin.com/posts/sshole-openssh-musl/">Leer más…</a> (quedan 7 minutos de lectura)</p></div>AlpineseguridadSSHhttps://sergiobelkin.com/posts/sshole-openssh-musl/Tue, 10 Nov 2026 14:34:00 GMT