Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2023-48795
Vulnerabilidad CVE-2023-48795
Escrito por: Monica Burgess
Publicado: 03/12/2025
CVE-2023-48795, también conocida como el ataque Terrapin, es una vulnerabilidad de truncamiento de prefijo en el protocolo SSH. Esta falla le permite a un atacante de tipo man-in-the-middle (MitM) degradar la seguridad de la conexión al manipular los números de secuencia durante el protocolo de enlace. ¿El resultado? Los atacantes pueden eliminar mensajes al inicio del canal seguro, comprometiendo la integridad de la conexión.
¿Qué es la vulnerabilidad CVE-2023-48795?
CVE-2023-48795 es una vulnerabilidad significativa dentro del protocolo de transporte Secure Shell (SSH). Le permite a un atacante MitM eludir las verificaciones de integridad al truncar los mensajes iniciales intercambiados durante un protocolo de enlace seguro. Al manipular cuidadosamente los números de secuencia, un atacante puede eliminar una cantidad específica de mensajes desde el inicio de la comunicación sin que el cliente o el servidor lo noten. Esto compromete la integridad del canal, lo que podría permitir la degradación de los algoritmos de autenticación de clave pública u otras funciones de seguridad.
¿Cuándo se descubrió?
La vulnerabilidad fue descubierta por investigadores de la Universidad Ruhr de Bochum, en Alemania. Hicieron públicos sus hallazgos y los detalles del ataque Terrapin el 18 de diciembre de 2023. La divulgación coordinada involucró a múltiples proveedores para garantizar que hubiera parches y guías disponibles para abordar este problema generalizado que afecta a numerosas implementaciones de SSH.
Productos y versiones afectados
El ataque Terrapin afecta a una amplia gama de clientes y servidores SSH que admiten modos de cifrado específicos. Cualquier implementación que use ChaCha20-Poly1305 o cualquier cifrado CBC combinado con Encrypt-then-MAC es potencialmente vulnerable. Esto tiene un efecto de gran alcance en todo el panorama del software.
Producto | Versiones afectadas | Versiones corregidas / enlaces de parches |
OpenSSH | Todas las versiones anteriores a la 9.6 | OpenSSH 9.6+ |
PuTTY | 0.68 a 0.79 | 0.80+ |
AsyncSSH | Todas las versiones anteriores a la 2.14.2 | 2.14.2+ |
libssh | Todas las versiones anteriores a la 0.10.6 y 0.9.8 | 0.10.6, 0.9.8 |
Paramiko | Todas las versiones anteriores a la 3.4.0 | 3.4.0+ |
ProFTPD | Todas las versiones anteriores a la 1.3.8b y 1.3.9rc2 | 1.3.8b, 1.3.9rc2 |
Nota: esta tabla no es exhaustiva. Muchos otros productos están afectados. Consulta con tus proveedores de software para obtener avisos específicos.
Descripción técnica de CVE-2023-48795
La causa raíz de la vulnerabilidad CVE-2023-48795 está en cómo el protocolo SSH maneja los números de secuencia durante el intercambio de claves inicial. Un atacante activo de tipo MitM puede interceptar la conexión e inyectar paquetes específicos sin cifrar antes de que se establezca por completo el canal de comunicación seguro. Esta acción desincroniza los números de secuencia de los mensajes entre el cliente y el servidor.
Como la integridad del protocolo de enlace no está protegida en ciertas configuraciones, el atacante puede manipular el mensaje SSH_MSG_EXT_INFO, que es opcional y se negocia. Al truncar este mensaje, puede controlar cuántos paquetes iniciales son "ignorados" por el receptor. Esto le permite al atacante eliminar de forma selectiva los mensajes enviados por el cliente o el servidor al inicio de la sesión cifrada, lo que debilita la seguridad de toda la conexión. Esta falla rompe la suposición de que el intercambio de claves inicial es a prueba de manipulaciones.
Tácticas, técnicas y procedimientos (TTPs)
Los actores de amenazas que explotan CVE-2023-48795 usan principalmente ataques de tipo Man-in-the-Middle (MitM). La táctica principal consiste en interceptar el protocolo de enlace SSH entre un cliente y un servidor. A partir de ahí, el atacante inyecta paquetes especialmente diseñados para manipular los números de secuencia y luego elimina de forma selectiva los mensajes iniciales de la sesión para degradar los protocolos de seguridad. Esto podría llevar al uso de métodos de autenticación más débiles, lo que facilita comprometer la sesión más adelante.
Indicadores de compromiso
Detectar un ataque Terrapin activo puede ser complicado porque ocurre a nivel de protocolo. Sin embargo, los indicadores de compromiso (IOCs) para el exploit de CVE-2023-48795 incluyen fallas o reinicios inesperados de la conexión SSH, en particular después del protocolo de enlace inicial. El monitoreo de red puede revelar inyecciones de paquetes inusuales durante la fase de negociación SSH. Los administradores de sistemas también deben estar atentos a los registros que indiquen una falla al negociar EXT_INFO o degradaciones repentinas en la fortaleza del conjunto de cifrado.
Pruebas de concepto y exploits conocidos
Desde su divulgación, los investigadores han publicado un escáner de prueba de concepto (PoC) que puede verificar si un servidor SSH es vulnerable al ataque Terrapin. Esta herramienta ayuda a los administradores a identificar los sistemas afectados. Aunque no se ha reportado mucha explotación activa generalizada en el entorno real, la disponibilidad de una PoC pública y la amplia superficie de ataque hacen que el riesgo sea muy real. Es solo cuestión de tiempo antes de que los actores de amenazas empiecen a incluir esto en su manual de estrategias habitual.
¿Cómo detectar la vulnerabilidad CVE-2023-48795?
Puedes detectar la vulnerabilidad CVE-2023-48795 usando varios métodos. Los escáneres de red, como el publicado por los investigadores originales, pueden examinar activamente los servidores SSH para comprobar si presentan la falla. Del lado del sistema, puedes revisar las versiones de tus clientes y servidores SSH contra la lista de software afectado. Para los equipos de seguridad que usan un SIEM, monitorea si hay un número inusual de intentos fallidos de negociación SSH o registros que muestren errores relacionados con números de secuencia inesperados.
Impacto y riesgo de la vulnerabilidad CVE-2023-48795
El impacto de la vulnerabilidad CVE-2023-48795 es principalmente la degradación de la seguridad de la conexión. Aunque no lleva directamente a la ejecución de código ni al descifrado de datos, perjudica la integridad del canal SSH. Esto abre la puerta a otros ataques. Por ejemplo, un atacante podría desactivar funciones de seguridad específicas, como la ofuscación del tiempo entre pulsaciones de teclas en OpenSSH, lo que hace que la sesión sea más vulnerable al análisis de tráfico. El mayor riesgo es que debilita la confianza en un protocolo que es la base de la administración remota segura.
Estrategias de mitigación y remediación
Solucionemos esto. La mitigación principal para CVE-2023-48795 es aplicar parches a tus sistemas. Actualiza todos los clientes y servidores SSH a las versiones más recientes que incluyan las correcciones para esta vulnerabilidad. La mayoría de los proveedores principales ya han publicado parches.
Si no puedes aplicar el parche de inmediato, puedes implementar una solución alternativa. Configura tus servidores y clientes SSH para desactivar los cifrados vulnerables ChaCha20-Poly1305 y los de modo CBC. En su lugar, prioriza cifrados robustos como AES-GCM. Esta medida cierra de forma efectiva la puerta al ataque Terrapin al eliminar las condiciones que necesita para tener éxito.
Preguntas frecuentes sobre la vulnerabilidad CVE-2023-48795
CVE-2023-48795, o el ataque Terrapin, es una vulnerabilidad en el protocolo SSH. Permite que un atacante de tipo man-in-the-middle trunque los mensajes iniciales de una conexión segura al manipular los números de secuencia. Esto compromete la integridad del protocolo de enlace y podría permitirle al atacante degradar la seguridad de la conexión.
Esta vulnerabilidad no es una "infección" como el malware. En cambio, es una falla a nivel de protocolo que se explota durante una sesión SSH activa. Un atacante primero debe obtener una posición entre el cliente y el servidor (MitM) para interceptar y modificar el protocolo de enlace de la conexión mientras ocurre.
Sí, sigue siendo una amenaza real. Cualquier cliente o servidor SSH sin parches que use cifrados vulnerables sigue expuesto. Mientras existan sistemas obsoletos o los administradores descuiden las actualizaciones, los atacantes pueden explotar esta falla para debilitar las conexiones seguras.
La protección es sencilla: aplica parches a todo. Actualiza todos los clientes y servidores SSH a versiones que solucionen CVE-2023-48795. Si no puedes aplicar el parche de inmediato, reconfigura tus ajustes SSH para desactivar los cifrados afectados (ChaCha20-Poly1305 y cualquier cifrado CBC) y prioriza alternativas más seguras.
