Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2024-6387
Vulnerabilidad CVE-2024-6387
Publicado: 07/11/2025
Escrito por: Monica Burgess
CVE-2024-6387, también conocida como "Regresshion", es una vulnerabilidad crítica de ejecución remota de código (RCE) que afecta a versiones específicas de OpenSSH, la herramienta ampliamente usada para el inicio de sesión remoto seguro. Esta falla permite que un atacante no autenticado ejecute comandos arbitrarios en un servidor vulnerable, lo que podría llevar a un compromiso total del sistema. Es hora de revisar esas versiones de SSH.
¿Qué es la vulnerabilidad CVE-2024-6387?
La vulnerabilidad CVE-2024-6387 es una falla crítica de ejecución remota de código descubierta en el servidor OpenSSH (sshd). El problema se origina en una regresión introducida en la versión 9.7 de OpenSSH, que maneja incorrectamente los metacaracteres de shell en los nombres de usuario durante el proceso de inicio de sesión. Un atacante no autenticado puede explotar esto creando un nombre de usuario especial, lo que engaña al servidor para que ejecute comandos maliciosos con los privilegios del usuario sshd, que normalmente es root. Su alta puntuación de gravedad (CVSS 10,0) resalta la urgencia de aplicar un parche para CVE-2024-6387.
¿Cuándo se descubrió?
La vulnerabilidad CVE-2024-6387 se dio a conocer públicamente el 1 de julio de 2024. Fue descubierta por el investigador de seguridad Enguerran Gillier, quien la reportó al proyecto OpenSSH. La falla fue el resultado de un cambio de código hecho para corregir una vulnerabilidad anterior, menos grave (CVE-2023-51385), que creó accidentalmente esta otra mucho más peligrosa. Esto demuestra cómo incluso las correcciones bien intencionadas a veces pueden introducir nuevos riesgos de seguridad.
Productos y versiones afectados
El exploit de CVE-2024-6387 apunta específicamente a un rango reducido, pero ampliamente implementado, de versiones del servidor OpenSSH. Si estás usando alguna de estas, aplicar el parche no es opcional, es fundamental.
Producto | Versiones afectadas | Versiones corregidas / enlaces de parches |
Servidor OpenSSH | 9.7p1, 9.8p1 | OpenSSH 9.8p2, OpenSSH 9.9p1, o posterior |
Muchas distribuciones de Linux y otros sistemas operativos que incluyen OpenSSH lanzaron actualizaciones rápidamente. Siempre verifica con tu proveedor de sistema operativo específico para obtener el parche correcto.
Descripción técnica de CVE-2024-6387
Vamos al detalle técnico. Los detalles de la vulnerabilidad CVE-2024-6387 revelan una falla de inyección de argumentos. En las versiones vulnerables, OpenSSH pasa incorrectamente nombres de usuario que contienen metacaracteres de shell (como comillas invertidas ` o $()) a un comando de shell cuando el registro está configurado para usar /usr/sbin/sshd-session.
Así es como funciona:
Un atacante intenta iniciar sesión con un nombre de usuario creado maliciosamente, por ejemplo: \command-to-execute``.
El servidor sshd vulnerable toma este nombre de usuario y, sin la sanitización adecuada, lo incluye en una cadena de comandos que ejecuta /bin/sh.
El shell interpreta las comillas invertidas como una sustitución de comandos y ejecuta lo que sea que command-to-execute sea.
Debido a que el proceso sshd a menudo se ejecuta con privilegios de root antes de pasar a un usuario con menos privilegios, estos comandos pueden ejecutarse como root, lo que le da al atacante control total sobre el sistema. Esto hace que la explotabilidad de CVE-2024-6387 sea increíblemente alta para servidores expuestos y sin parchear.
Tácticas, técnicas y procedimientos (TTPs)
Los atacantes que explotan CVE-2024-6387 usan principalmente la táctica de acceso inicial del marco MITRE ATT&CK. Escanean internet en busca de servidores OpenSSH vulnerables (T1190 - Exploit Public-Facing Application) y luego usan un nombre de usuario diseñado para obtener ejecución remota de código (T1203 - Exploitation for Client Execution, aunque en este caso es del lado del servidor). Una vez dentro, pueden establecer persistencia, escalar privilegios (si aún no son root) y moverse lateralmente por la red.
Indicadores de compromiso
Buscar indicadores de compromiso (IOCs) de la vulnerabilidad CVE-2024-6387 es clave para detectar una vulneración. La señal más evidente está en tus registros del sistema. Revisa auth.log o los registros de autenticación del sistema equivalentes en busca de intentos de inicio de sesión con nombres de usuario extraños que contengan metacaracteres de shell, como comillas invertidas, signos de dólar o paréntesis. Además, supervisa las conexiones de red salientes inesperadas o los procesos nuevos y sospechosos generados por el proceso sshd. Cualquiera de estos podría ser un IOC de la vulnerabilidad CVE-2024-6387.
Pruebas de concepto y exploits conocidos
No tardó mucho en que los investigadores de seguridad crearan una prueba de concepto (PoC) para CVE-2024-6387. A pocas horas de la divulgación, se publicaron varias PoC, lo que demostró lo fácil que es explotarla. Estos scripts y comandos de una sola línea permiten que incluso atacantes con poca habilidad escaneen y comprometan sistemas vulnerables. Se observó explotación activa casi de inmediato, con actores de amenazas que usaron la vulnerabilidad para implementar mineros de criptomonedas, agentes de botnet y otro malware.
¿Cómo detectar la vulnerabilidad CVE-2024-6387?
La detección eficaz de la vulnerabilidad CVE-2024-6387 requiere un enfoque de varias capas. Empieza con escáneres de vulnerabilidades autenticados para revisar tus versiones de OpenSSH. Para la detección a nivel de endpoint, usa una solución de Detección y respuesta para endpoints (EDR) como Huntress para monitorear la creación de procesos sospechosos desde sshd. También puedes crear reglas personalizadas de SIEM para alertar sobre intentos de inicio de sesión con nombres de usuario que contengan metacaracteres de shell. Revisar los registros de auth.log, secure o journalctl -u sshd en busca de nombres de usuario con caracteres como `, $, (, ) es una excelente revisión manual.
Impacto y riesgo de la vulnerabilidad CVE-2024-6387
El impacto es prácticamente lo peor que puede pasar. Un exploit exitoso le da al atacante control remoto total sobre el servidor afectado. Esto compromete los tres pilares de la tríada CIA:
Confidencialidad: Los atacantes pueden robar datos sensibles, desde información de clientes hasta propiedad intelectual.
Integridad: Pueden modificar o eliminar archivos, alterar configuraciones del sistema e instalar puertas traseras.
Disponibilidad: El servidor puede desconectarse, usarse en un ataque DDoS o destruirse por completo.
Para una empresa, esto podría significar filtraciones de datos, daño reputacional, pérdidas financieras y un tiempo de inactividad operativa considerable. Es un desastre total esperando a ocurrir en cualquier sistema sin parchear.
Estrategias de mitigación y remediación
Si estás usando una versión afectada, detén lo que estás haciendo y aplica el parche. Ahora mismo. Esta no es una situación de "esperar y ver".
Aplica el parche de inmediato: Esta es la mitigación más eficaz de la vulnerabilidad CVE-2024-6387. Actualiza a OpenSSH 9.8p2, 9.9p1, o una versión posterior provista por el proveedor de tu sistema operativo.
Aplica soluciones alternativas (si no puedes parchear): Si de verdad no puedes parchear de inmediato, puedes mitigar el riesgo asegurándote de que la opción UsePAM en tu sshd_config esté configurada en yes. Esto cambia la ruta de código y no es vulnerable. Sin embargo, esta es una solución temporal, no un sustituto del parche.
Restringe el acceso: Limita el acceso SSH a direcciones IP confiables usando firewalls. Aunque esto no corrige la vulnerabilidad, reduce la superficie de ataque al impedir que los atacantes lleguen a tu puerto SSH.
Después de aplicar el parche, es prudente buscar cualquier señal de compromiso que haya ocurrido antes de aplicar el parche de CVE-2024-6387.
Preguntas frecuentes sobre la vulnerabilidad CVE-2024-6387
CVE-2024-6387, o "Regresshion", es una vulnerabilidad crítica de ejecución remota de código en las versiones 9.7p1 y 9.8p1 del servidor OpenSSH. Permite que un atacante no autenticado ejecute comandos en un servidor al enviar un nombre de usuario especialmente diseñado que contiene metacaracteres de shell. El código del servidor procesa este nombre de usuario de forma incorrecta, lo que lleva a la ejecución de comandos, a menudo con privilegios de root.
El exploit no "infecta" un sistema como lo haría un malware. En cambio, un atacante se conecta a un servidor SSH vulnerable y usa un nombre de usuario como \malicious-command``. El servidor ejecuta por error el comando dentro de las comillas invertidas, dándole al atacante acceso inicial y control sobre la máquina sin necesidad de una contraseña.
Sí, totalmente. Aunque los parches están disponibles desde julio de 2024, muchos sistemas siguen sin parchear debido a ciclos de actualización lentos o descuido. Los actores de amenazas escanean continuamente internet en busca de estos servidores vulnerables, lo que convierte a cualquier máquina sin parchear y expuesta a internet en un objetivo principal para un exploit de CVE-2024-6387.
La protección principal y más eficaz es aplicar el parche de CVE-2024-6387 de inmediato actualizando OpenSSH a una versión corregida. Las organizaciones también deben restringir el acceso SSH a IP confiables, usar soluciones EDR para la detección de amenazas, y monitorear regularmente los registros del sistema en busca de intentos de inicio de sesión sospechosos como parte de una estrategia sólida de mitigación de la vulnerabilidad CVE-2024-6387.
