SSHamble es una herramienta de código abierto diseñada para identificar y explotar vulnerabilidades en las implementaciones de SSH en sistemas conectados a internet. Presentada en la conferencia DEFCON 33, esta herramienta ha sido clave en el descubrimiento de fallos de seguridad importantes en equipos de red y en la exposición de configuraciones erróneas de SSH que afectan a millones de sistemas en todo el mundo.
Funcionamiento y capacidad de la herramienta
SSHamble realiza un análisis exhaustivo en servidores SSH antes de la autenticación. La herramienta examina la negociación de protocolos, los mecanismos de autenticación y los comportamientos de implementación específicos. Utiliza técnicas avanzadas como el análisis de inicio de kex, pruebas de omisión de autenticación y análisis de tiempo para identificar configuraciones vulnerables sin necesidad de credenciales válidas.
Vulnerabilidades empresariales y estadísticas globales
La investigación de HDMoore, utilizando SSHamble, ha revelado vulnerabilidades críticas de día cero en numerosos sistemas de nivel empresarial. Entre los hallazgos más destacados se incluyen la ejecución de comandos de administrador no autenticados en puntos de acceso de Ruckus Wireless, acceso remoto a la interfaz de línea de comandos (CLI) no autenticado en puertas de enlace Digi TransPort y conmutadores Panasonic, y la ejecución remota de código autenticado en plataformas de alojamiento de Git como GOGS y Soft Serve.
El escaneo de SSHamble en todo internet arrojó estadísticas alarmantes: aproximadamente 22 millones de direcciones IPv4 exponen SSH en el puerto 22, y 15.4 millones de estas logran una negociación de protocolos de autenticación exitosa. Lo más preocupante es que SSHamble consiguió establecer sesiones en 48,000 sistemas, lo que sugiere una omisión de autenticación exitosa o el uso de credenciales comprometidas. La herramienta incluye más de 30 verificaciones de vulnerabilidad, como auth-none, skip-auth, pubkey-any y vuln-tcp-forward.
Avances en la versión 2.0 y recomendaciones de seguridad
La versión más reciente de la herramienta, SSHamble v2.0, incorpora funciones avanzadas como la búsqueda automática en listas de bloqueo de BadKeys.info, verificaciones experimentales de vulnerabilidades de ejecución ciega y la integración con Nuclei para una mejor evaluación de la seguridad. Además, mejora las pruebas de negociación de algoritmos y las técnicas de omisión de verificación de claves de host.
Los hallazgos de Moore subrayan deficiencias críticas en la seguridad de las implementaciones SSH, especialmente en dispositivos integrados y de infraestructura de red. Muchos sistemas afectados utilizan credenciales codificadas, claves de host reutilizadas o son vulnerables a ataques de reenvío de puertos antes de la autenticación, lo que puede llevar al compromiso total del sistema.
La investigación enfatiza la necesidad urgente de que las empresas auditen sus configuraciones SSH, implementen la limitación de velocidad con PerSourcePenalties (disponible en OpenSSH 9.8) y migren de la autenticación basada en contraseñas a la criptografía de clave pública con una gestión de claves adecuada.
SSHamble está disponible en su sitio web oficial y se ha integrado en marcos de seguridad comunes, permitiendo a los profesionales de la seguridad identificar y corregir vulnerabilidades SSH antes de que sean explotadas por atacantes.
