{"id":183658,"date":"2026-10-06T22:53:58","date_gmt":"2026-10-06T20:53:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-openssh-10-6-s-ustraneniem-uyazvimostej"},"modified":"2026-10-06T22:54:02","modified_gmt":"2026-10-06T20:54:02","slug":"openssh-10-6-released-with-vulnerability-fixes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/openssh-10-6-released-with-vulnerability-fixes","title":{"rendered":"Lanzamiento de OpenSSH 10.6 con correcci\u00f3n de vulnerabilidades","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se public\u00f3 la versi\u00f3n OpenSSH 10.6, una implementaci\u00f3n abierta del cliente y del servidor para trabajar con los protocolos SSH 2.0 y SFTP. Se han solucionado problemas de seguridad, la mayor\u00eda de los cuales fueron identificados mediante el an\u00e1lisis de c\u00f3digo utilizando herramientas de IA (no se han asignado identificadores CVE): <\/p>\n
\n
Una vulnerabilidad en sftp que permite escribir un archivo fuera del directorio objetivo al acceder a un servidor controlado por atacantes.\n
Dos vulnerabilidades en la implementaci\u00f3n de GSSAPI en sshd, causadas por la conservaci\u00f3n del estado entre diferentes intentos de autenticaci\u00f3n. Las credenciales de GSSAPI podr\u00edan haberse guardado despu\u00e9s de un intento de autenticaci\u00f3n fallido y ser utilizadas despu\u00e9s de un intento exitoso posterior. Los problemas ocurren cuando se habilita la configuraci\u00f3n GSSAPIAuthentication.\n
En sshd y ssh se deshabilit\u00f3 el soporte para la compresi\u00f3n LZ77 debido a la posibilidad de realizar un ataque de canal lateral que permite recuperar contenido de otra sesi\u00f3n al conectarse a trav\u00e9s de una conexi\u00f3n multiplexada compartida con la v\u00edctima, aprovechando que los datos introducidos por el atacante afectan la longitud total de los mensajes cifrados transmitidos (LZ77 reemplaza cadenas repetidas con referencias en un b\u00fafer com\u00fan para todos los canales).\n
En la utilidad ssh, se proh\u00edbe el uso de los caracteres ‘$’ y ‘\’ en los nombres de usuario ingresados en la l\u00ednea de comandos, ya que podr\u00edan permitir la ejecuci\u00f3n de c\u00f3digo al ser insertados en las directivas ProxyCommand y Match exec especificadas en la configuraci\u00f3n.\n
Se corrigi\u00f3 en ssh-keygen una incorrecta gesti\u00f3n del horario de verano, que provocaba un desplazamiento en la validez de los certificados de 1 hora.\n
Con el fin de bloquear la creaci\u00f3n de zip-bombs, se a\u00f1adi\u00f3 en sshd y ssh una verificaci\u00f3n que impide el exceder el tama\u00f1o m\u00e1ximo de paquete al descomprimir datos.\n
Se ha solucionado en sshd un problema que permit\u00eda eludir las restricciones de la palabra clave «restrict» en el archivo authorized_keys, que no se aplicaba a los t\u00faneles (PermitTunnel).\n
Se ha corregido en sshd el an\u00e1lisis incorrecto de la opci\u00f3n «none» dentro de los bloques Match, que en algunas directivas, como AuthorizedPrincipalsFile, se interpretaba como un nombre de archivo en lugar de como una indicaci\u00f3n de desactivaci\u00f3n de la directiva.\n
Se ha solucionado en sshd la falta de reinicio de privilegios de root en plataformas que no admiten la transferencia de descriptores de archivos y que requieren derechos de root para la asignaci\u00f3n de PTY. El problema se presenta en QNX 6, SCO OpenServer 5 y en la compilaci\u00f3n con la opci\u00f3n «—disable-fd-passing». <\/ul>\n
Cambios no relacionados con vulnerabilidades: <\/p>\n
\n
Se ha habilitado el soporte para el algoritmo de cifrado h\u00edbrido ssh-mldsa44-ed25519, resistente a intentos de resoluci\u00f3n por computadoras cu\u00e1nticas.\n
En sshd_config se ha implementado y habilitado por defecto la opci\u00f3n WarnWeakCrypto para gestionar la salida de advertencias sobre la conexi\u00f3n utilizando algoritmos de negociaci\u00f3n de claves que no son resistentes a computadoras cu\u00e1nticas.\n
En ssh-keygen y ssh-add se ha implementado la verificaci\u00f3n de la pol\u00edtica credProtect en las credenciales para cumplir con los requisitos de verificaci\u00f3n (PIN o biometr\u00eda) antes de acceder a las claves residuales en tokens FIDO.\n
En ssh-add se ha a\u00f1adido el indicador «-P» para omitir la entrada opcional del PIN para los tokens FIDO y PKCS#11.\n
En ssh se ha implementado la salida de informaci\u00f3n sobre versiones en los sistemas local y remoto en el comando ~I.\n
En sftp se ha a\u00f1adido el indicador ‘-p’ a los comandos mkdir\/lmkdir para crear directorios seg\u00fan sea necesario.\n
Se ha a\u00f1adido en ssh-keygen el modo «hexdump» para exportar claves en forma de volcado hexadecimal (por ejemplo, para su inclusi\u00f3n en la documentaci\u00f3n).\n
En ssh y sshd en la directiva ChannelTimeout se permite especificar tiempos de espera con precisi\u00f3n de fracciones de segundo.\n
En sshd se ha a\u00f1adido la opci\u00f3n AgentSocketPath para especificar la ruta a $SSH_AUTH_SOCK al redirigir el agente (por ejemplo, user:.ssh\/agent para subdirectorios en $HOME y shared:\/tmp para directorios compartidos).\n
En ssh-agent se ha a\u00f1adido el indicador «-A» para especificar directorios de sockets del agente en los que se permite el uso de prefijos «user:» y «shared:» como en la opci\u00f3n AgentSocketPath.\n
En sshd, la verificaci\u00f3n de claves p\u00fablicas se ha separado de los intentos de autenticaci\u00f3n. Se ha a\u00f1adido la opci\u00f3n «PubkeyOptions max-pk-ok:nnnn» para configurar el n\u00famero de intentos de verificaci\u00f3n de claves p\u00fablicas (por defecto 6), despu\u00e9s de los cuales la conexi\u00f3n se cortar\u00e1 por el l\u00edmite MaxAuthTries.\n
En ssh y sshd se ha a\u00f1adido el soporte para el valor «all» en la opci\u00f3n TCPKeepAlive, que incluye el env\u00edo de paquetes de keepalive no solo para la conexi\u00f3n principal, sino tambi\u00e9n para las conexiones que pasan a trav\u00e9s de ella. <\/ul>\n