የSSH 9.3 እና SFTP ፕሮቶኮሎችን ለመጠቀም የደንበኛ እና አገልጋይ ክፍት ትግበራ የOpenSSH 2.0 ልቀት ታትሟል። አዲሱ ስሪት የደህንነት ችግሮችን ያስተካክላል፡-
- በ ssh-add መገልገያ ውስጥ ምክንያታዊ ስህተት ታይቷል, በዚህ ምክንያት ለስማርት ካርዶች ቁልፎችን ወደ ssh-agent ሲጨምሩ, "ssh-add -h" የሚለውን አማራጭ በመጠቀም የተገለጹት ገደቦች ወደ ወኪሉ አልተላለፉም. በውጤቱም, አንድ ቁልፍ ወደ ወኪሉ ተጨምሯል, ለዚህም ምንም ገደቦች አልተተገበሩም, ግንኙነቶችን ከተወሰኑ አስተናጋጆች ብቻ ይፈቅዳል.
- የVerifyHostKeyDNS ቅንብር በማዋቀር ፋይሉ ውስጥ የነቃ ከሆነ በልዩ ሁኔታ የተቀረጹ የዲ ኤን ኤስ ምላሾችን በሚሰራበት ጊዜ ከተመደበው ቋት ውጭ ካለው ቁልል አካባቢ መረጃን ለማንበብ የሚያስችል ተጋላጭነት በssh መገልገያ ውስጥ ተለይቷል። ችግሩ ያለው አብሮ በተሰራው የጌትርሴትባይስም() ተግባር ላይ ሲሆን ውጫዊውን ldns ላይብረሪ (-with-ldns) ሳይጠቀም በተዘጋጀው የ OpenSSH ተንቀሳቃሽ ስሪቶች እና ጌትርሴትባይ ስም () በማይደግፉ መደበኛ ቤተ-መጻሕፍት ውስጥ ጥቅም ላይ ይውላል። ) ይደውሉ። ለ ssh ደንበኛ አገልግሎት መከልከልን ከመጀመር በስተቀር የተጋላጭነት ብዝበዛ የመሆን እድል የማይመስል ሆኖ ይገመገማል።
በተጨማሪም፣ በOpenBSD ውስጥ በተካተተው የlibskey ቤተ-መጽሐፍት ውስጥ ተጋላጭነትን ልብ ማለት ትችላላችሁ፣ ይህም በOpenSSH ውስጥ ነው። ችግሩ ከ1997 ጀምሮ ያለ ሲሆን በልዩ ሁኔታ የተቀረጹ የአስተናጋጅ ስሞችን በሚሰራበት ጊዜ የቁልል ቋት መትረፍን ሊያስከትል ይችላል። ምንም እንኳን የተጋላጭነት መገለጫው በርቀት በ OpenSSH በኩል ሊጀመር የሚችል ቢሆንም ፣ በተግባር ተጋላጭነቱ ምንም ፋይዳ የለውም ፣ ምክንያቱም እራሱን ለማሳየት ፣ የተጠቂው አስተናጋጅ (/ ወዘተ / አስተናጋጅ ስም) ስም ከምንም በላይ መያዝ አለበት ። 126 ቁምፊዎች፣ እና ቋት ሊሞላ የሚችለው ዜሮ ኮድ ('\0') ባላቸው ቁምፊዎች ብቻ ነው።
የደህንነት ያልሆኑ ለውጦች የሚከተሉትን ያካትታሉ:
- ለ "-Ohashalg=sha1|sha256" መለኪያ ወደ ssh-keygen እና ssh-keyscan የኤስኤስኤችኤፍኤፍ ኑግ ማሳያ ስልተቀመርን ለመምረጥ ድጋፍ ታክሏል።
- sshd የግል ቁልፎችን ለመጫን ሳትሞክር እና ተጨማሪ ቼኮችን ሳታደርጉ የነቃውን ውቅረት ለመፈተሽ እና ለማሳየት የ"-G" አማራጭ አክሏል፣ ይህም ውቅሩን ከቁልፍ ማመንጨት በፊት ባለው ደረጃ ላይ እንድትፈትሽ እና ቼኩን ባልተከፈቱ ተጠቃሚዎች እንድታካሂድ ያስችላል።
- sshd ሴክኮም እና ሴክኮምፕ-ቢፒኤፍ ሲስተም የጥሪ ማጣሪያ ዘዴዎችን በመጠቀም በሊኑክስ መድረክ ላይ መገለልን ያሻሽላል። ለኤምኤምፕ፣ ማድቪስ እና ፉቴክስ ባንዲራዎች ወደተፈቀደላቸው የስርዓት ጥሪዎች ዝርዝር ታክለዋል።
ምንጭ: opennet.ru