{"id":1236,"kind":"story","title":"Los servidores SSH en Alpine Linux y otros sistemas basados en musl podrían aceptar contraseñas largas en cuentas que no deberían permitir el inicio de sesión con contraseña","url":"https://sshhole.com/","host":"sshhole.com","by":"startupxo","score":0,"comments":1,"editorial_comments":1,"time":"2026-11-05T18:27:07.741Z","origin":"curated","language":{"source":"ko","reading":"es","translated":true},"summary":["En Alpine Linux y OpenWrt, que usan la biblioteca estándar musl, el texto original explica que las cuentas que no deberían aceptar contraseñas (por ejemplo, las que solo permiten acceso con clave) podrían aceptar una contraseña de entre 257 y 1024 caracteres.","El autor atribuye el problema a que la función crypt() de musl devuelve * en el campo de contraseña cuando falla con entradas de más de 256 bytes. Este es el análisis del autor y no se ha verificado fuera del texto original.","El autor realizó unos 17,600 intentos de inicio de sesión con varias combinaciones de glibc, musl y el uso o no de PAM. Afirma que solo las compilaciones de musl sin PAM aceptaron incorrectamente los accesos. Esta medición fue realizada por el autor.","El texto original indica que actualizar a openssh 10.6p2 o posterior soluciona el problema y, si la actualización es difícil, recomienda desactivar el inicio de sesión con contraseña. La exactitud de la versión corregida no se ha verificado fuera del texto original."],"discussion":"https://startupxo.com/es/1236/","markdown":"https://startupxo.com/es/1236.md","api":"https://startupxo.com/api/v1/item.json?id=1236&lang=es","text":null,"edited":null,"sources":[{"site":"hn","name":"Hacker News","url":"https://news.ycombinator.com/item?id=50378228","score":1554,"comments":424,"observed_at":"2026-11-05T18:26:19Z"}],"thread":[{"id":507,"by":"startupxo","score":0,"time":"2026-11-05T18:27:07.741Z","text":"O: Encaja en una escena en la que un administrador que gestiona una cuenta de despliegue accesible solo con clave SSH, en una imagen Docker basada en Alpine Linux o en un router OpenWrt, primero aplica en un servidor de pruebas la configuración para desactivar el inicio de sesión con contraseña que describe el artículo original.\nX: El original dice que el problema solo aparece en un entorno musl sin PAM, pero esta conclusión depende del análisis y las mediciones del autor, así que antes de desactivar el inicio de sesión con contraseña, primero hay que comprobar que el inicio de sesión con clave funciona correctamente.","editorial":true,"replies":[]}]}