Vulnerabilidad en OpenSSH que Afecta a ProxyCommand
Resumen
El Equipo de Respuesta a Incidentes de Seguridad Informática de la Universidad Católica "Nuestra Señora de la Asunción" (CSIRT-UC) informa sobre una vulnerabilidad de seguridad descubierta en OpenSSH que afecta a versiones anteriores a la 10.1.
Esta falla, identificada como CVE-2025-61984, permite potencialmente que un atacante logre la ejecución de código cuando se utiliza la directiva ProxyCommand y la entrada de usuario (como el nombre de usuario) proviene de fuentes no confiables. Si bien la severidad base según MITRE es Baja (3.6), el impacto de una ejecución de código puede ser alto si el servidor está mal configurado.
Detalles Técnicos de la Vulnerabilidad
El problema radica en que OpenSSH no filtra adecuadamente los caracteres de control (como el salto de línea \n) en los nombres de usuario que provienen de ciertas fuentes. Si un atacante inyecta un carácter de control en el nombre de usuario, puede manipular la sintaxis del comando ejecutado por ProxyCommand.
Vulnerabilidad CVE-2025-61984
Análisis detallado de la vulnerabilidad y condiciones de explotación
La explotación requiere que se cumplan dos condiciones clave:
- El sistema debe usar la directiva ProxyCommand.
- El nombre de usuario debe provenir de una fuente no confiable (ej. línea de comandos o expansión de secuencias % en el archivo de configuración).
Ejecución de Código Arbitrario en el sistema que ejecuta el comando proxy.
| Componente | Detalle |
|---|---|
| Vector de Ataque | Red |
| Complejidad del Ataque | Alta |
| Privilegios Requeridos | Ninguno |
| Interacción del Usuario | No se requiere |
| Alcance | No cambiado |
Productos Afectados
La vulnerabilidad afecta a casi todas las versiones de OpenSSH que no han aplicado el parche:
- OpenSSH: Todas las versiones anteriores a la 10.1 (p1).
Recomendación
El CSIRT-UC recomienda las siguientes medidas de mitigación de forma inmediata:
- Actualizar OpenSSH: La medida más efectiva es actualizar a la última versión estable de OpenSSH (10.1p1 o posterior). Las notas de la versión confirman que esta vulnerabilidad ha sido corregida.
- Verifique la disponibilidad de esta versión en los repositorios de su sistema operativo (ej. Debian, Red Hat, etc.).
- Revisar Configuraciones: Audite sus archivos de configuración de SSH (
ssh_config) para identificar el uso de la directivaProxyCommand. - Filtrado Adicional: Si no puede actualizar inmediatamente, considere implementar filtros adicionales o utilizar nombres de usuario estrictamente controlados en entornos donde se utiliza
ProxyCommandpara mitigar el riesgo de inyección de caracteres de control.
Referencias Oficiales
- Notas de la Versión OpenSSH 10.1p1: https://www.openssh.com/releasenotes.html#10.1p1
- Detalle del CVE (NVD): https://nvd.nist.gov/vuln/detail/CVE-2025-61984
- Análisis del Investigador: https://dgl.cx/2025/10/bash-a-newline-ssh-proxycommand-cve-2025-61984
CSIRT-UC