Üç aylıq hazırlıqdan sonra OpenSSH 10.4 çixarişi yayımlandı, SSH 2.0 və SFTP protokolları ilə işləyən müştəri və serverin açıq icrası. Əsas dəyişikliklər:
- Eksperimental şəkildə "mldsa44-ed25519" rəqəmsal imza yaradılması üçün kombinə edilmiş sxemin dəstəyi əlavə edildi, bu, ML-DSA 44 postkvant alqoritmi ilə Ed25519 ellips əyrisi əsaslı alqoritmi birləşdirir. Dəstəyi aktivləşdirmək üçün "mldsa44-ed25519" HostKeyAlgorithms və PubkeyAcceptedAlgorithms direktivlərinə əlavə edilməlidir. Açarların yaradılması üçün "ssh-keygen -t mldsa44-ed25519" əmri istifadə oluna bilər.
- ssh və sshd-də bir şablonla uyğunlaşdırma sisteminin yeni icrası tətbiq edildi ki, bu da çox sayda "*" simvolları əlavə edildikdə hesablamaların kompleksliyinin eksponensial artması probleminə məruz qalmır.
- Linux-da syscall filtrinin aktiv olduğu sshd-nin davranışı dəyişdirildi. Əvvəlcə SECCOMP və ya NO_NEW_PRIVS aktivləşdiriləndə, əgər Linux sistemlərində bu dəstək yoxdursa, bir xəbərdarlıq qeydi yaradılırdı və iş izolyasiyasız davam edirdi, lakin indi bu, qəza ilə nəticələnəcək.
- "sshd -G" seçimi istifadə edildikdə, konfiqurasiya yığını artıq yalnız kiçik hərflərlə deyil, böyük və kiçik hərflərlə qeyd olunur (yəni "PubkeyAuthentication" əvəzinə "pubkeyauthentication").
- ssh və sshd-nin davranışı RFC 4253 standartına uyğunlaşdırıldı: açar mübadiləsi zamanı açar mübadiləsinə aid olmayan mesajların göndərilməsi indi əlaqənin dayandırılması ilə nəticələnəcəkdir. Əvvəllər hücumçular açar mübadiləsi prosesində sonsuz sayda xarici mesaj göndərərək DoS hücumu həyata keçirə bilirdilər, bu mesajlar bufere edilib sunucusu və yaddaşdan istifadə edirdi.
Bir neçə təhlükəsizlik problemi aradan qaldırıldı:
- ssh alətində, zərərli kodla qarşılaşdıqda sərbəst buraxıldıqdan sonra yaddaşa mümkün lövhədən istifadə edilməsi (use-after-free) problemi aradan qaldırıldı. sunucunuzProblem açar mübadiləsi zamanı ev sahibi açarın dəyişdirilməsi ilə istismar olunur.
- Bir zərərli serverə "sftp host:/path ." şəklində bir əmr yerinə yetirərək faylın başqa bir direktoriyaya yüklənməsinə imkan verən sftp-də bir zəiflik.
- Bir zərərli tərəf Müstəqil bir serverə aid olan scp-də, iki xarici cihaz arasında fayl köçürülməsi zamanı hədəf direktoriyasının altındakı valideyn direktoriyaya faylların yazılmasını təmin edən bir zəiflik. serverlər ilə işləmək mümkündürbirini ələ keçirir.
- sshd-də, standart olaraq deaktiv edilmiş daxili SFTP-serverin («internal-sftp») istifadəsi zamanı yaranan problemi aradan qaldırdı. Problem, komanda sətirində 9-dan uzun arqumentlərdən sonra uzun ardıcıllıqların kəsilməsi ilə bağlı olub, bunun nəticəsində sonrakı arqumentlər atıla bilər. Beləliklə, təhlükəsizlik təminatı ilə bağlı seçimlər atıla bilər.
- sshd-də, «DisableForwarding=yes» direktivinin tunellərin yaradılmasını söndürmədiyi ilə bağlı bir problemin üstü açıldı, bu tunellər isə «PermitTunnel=yes» seçimi ilə icazəlidir (standart olaraq qoşulmur).
- sshd-də, GSSAPIAuthentication direktivinin aktiv edilməsi halında istifadə edilərək autentifikasiyadan əvvəl xidmətin dayandırılmasına səbəb ola biləcək bir problemin üstü açıldı (standart olaraq deaktivdir). Problem «MaxAuthTries» məhdudiyyəti ilə bloklanmır, lakin «PerSourcePenalties» məhdudiyyətinə tabedir.
- sshd-də, autentifikasiya cəhdləri arasında minimum gecikmənin həmişə əlavə edilmədiyi ilə bağlı problemlər aradan qaldırıldı.
Mənbə: opennet.ru
