ProxyCommand: La pequeña cadena que abre un puerto para exploits

Antonio Piazzolla : 13 octubre 2025 08:04

Ayer se publicó una vulnerabilidad en OpenSSH, CVE-2025-61984, que potencialmente permite la ejecución de comandos en el cliente cuando se utiliza ProxyCommand con nombres de usuario que contienen caracteres de control (por ejemplo, nuevas líneas).

Algunos flujos de entrada de OpenSSH no eliminaban correctamente los caracteres de control de los nombres de usuario. Un atacante podría aprovechar este comportamiento creando un nombre de usuario que contuviera, por ejemplo, un salto de línea seguido de una cadena que debería interpretarse como un comando.

Cuando se inserta ese nombre de usuario en la cadena invocada por ProxyCommand, algunos shells omiten el error de sintaxis introducido por la nueva línea y continúan la ejecución: la siguiente línea puede entonces ejecutarse como carga útil. En esencia, una pequeña secuencia de caracteres maliciosos, combinada con un shell permisivo y una configuración SSH específica, puede provocar una RCE.

Por qué un submódulo de Git es peligroso

GIT puede ser insidioso porque aprovecha acciones comunes de los desarrolladores. Un repositorio puede incluir un submódulo cuya URL SSH se ha creado para contener un nombre de usuario manipulado. Cuando alguien ejecuta: git clone –recursive

Git también intenta recuperar submódulos mediante SSH, momento en el cual el cliente ejecuta el ProxyCommand configurado localmente. En ciertas circunstancias, toda la cadena conduce a la ejecución de la carga útil.

El exploit no se activa por sí solo. Para que funcione, se deben cumplir dos condiciones específicas en el sistema de la víctima:

1. Shell permisivo: el shell invocado por ProxyCommand debe continuar la ejecución después de un error de sintaxis (comportamiento típico de Bash, Fish, csh)
2. ProxyCommand vulnerable: el archivo ~/.ssh/config del usuario debe contener un ProxyCommand que incluya el token %r (el nombre de usuario remoto) sin la protección adecuada; por ejemplo, %r no debe estar entre comillas ni desinfectado correctamente.

Si se cumplen ambas condiciones, el nombre de usuario manipulado se puede interpolar en la cadena invocada por el proxy y activar comandos no deseados.

Implicaciones prácticas

• Los desarrolladores y los sistemas automatizados que realizan clonación recursiva son un objetivo susceptible porque el vector explota operaciones rutinarias.
• Las herramientas que generan automáticamente ~/.ssh/config e insertan %r sin protecciones amplifican el riesgo
• La presencia de pruebas de concepto públicas hace que la situación sea urgente: aumenta la probabilidad de que alguien automatice la explotación a gran escala.

Pruebas de concepto públicas: qué muestran y por qué debería importarle (información no procesable)

En los últimos días, han circulado pruebas de concepto que explican claramente la cadena de ataque, pero sin proporcionar instrucciones prácticas para explotarla. Estas PoC muestran el escenario típico: un nombre de usuario con caracteres de control se interpola en el ProxyCommand, y un shell permisivo ejecuta la siguiente línea. Muchas PoC utilizan el ejemplo del submódulo de Git como demostración, ya que resalta el riesgo para la cadena de suministro: un repositorio comprometido puede alcanzar fácilmente a los desarrolladores y a las canalizaciones automatizadas.

El valor operativo de las PoC no reside en enseñar a explotar vulnerabilidades, sino en señalar dónde centrar las pruebas. Sin embargo, publicarlas reduce el tiempo que los atacantes dedicarían a desarrollar exploits automatizados, por lo que el margen de intervención es reducido.
La falla se soluciona actualizando OpenSSH a la versión 10.1 , lo que debería hacerse lo antes posible.

Antonio Piazzolla


Lista degli articoli