OpenSSH 8.6-nın buraxılışı, SSH 2.0 və SFTP protokollarından istifadə etməklə işləmək üçün müştəri və serverin açıq tətbiqi nəşr olundu. Yeni versiya əvvəlki buraxılışda ortaya çıxan LogVerbose direktivinin həyata keçirilməsində zəifliyi aradan qaldırır və icra olunan kodla əlaqəli şablonlar, funksiyalar və fayllarla filtrasiya imkanı da daxil olmaqla, jurnala atılan məlumatın sazlanması səviyyəsini artırmağa imkan verir. sandbox mühitində təcrid olunmuş sshd prosesində sıfırlama imtiyazları ilə.
Bəzi hələ naməlum zəiflikdən istifadə edərək imtiyazsız prosesə nəzarəti ələ keçirən təcavüzkar Sandboxingdən yan keçmək və yüksək imtiyazlarla işləyən prosesə hücum etmək üçün LogVerbose problemindən istifadə edə bilər. LogVerbose zəifliyinin praktikada baş verməsi ehtimalı az hesab olunur, çünki LogVerbose parametri defolt olaraq qeyri-aktivdir və adətən yalnız sazlama zamanı istifadə olunur. Hücum həm də imtiyazsız bir prosesdə yeni bir zəifliyin tapılmasını tələb edir.
OpenSSH 8.6-da zəifliklə əlaqəli olmayan dəyişikliklər:
- sftp və sftp-serverdə yeni protokol uzadılması həyata keçirildi "[e-poçt qorunur]", bu, SFTP müştərisinə serverdə qoyulmuş məhdudiyyətlər, o cümlədən maksimum paket ölçüsünə məhdudiyyətlər və yazma və oxuma əməliyyatları haqqında məlumat əldə etməyə imkan verir. Sftp-də məlumatların ötürülməsi zamanı optimal blok ölçüsünü seçmək üçün yeni genişləndirmə istifadə olunur.
- ModuliFile parametri sshd üçün sshd_config-ə əlavə edildi, bu da DH-GEX üçün qrupları ehtiva edən “modul” faylına gedən yolu müəyyən etməyə imkan verir.
- TEST_SSH_ELAPSED_TIMES mühit dəyişəni hər bir testin icrasından sonra keçən vaxtın çıxışını aktivləşdirmək üçün vahid testlərinə əlavə edilmişdir.
- GNOME parol sorğusu interfeysi biri GNOME2, digəri isə GNOME3 üçün (contrib/gnome-ssk-askpass3.c) iki varianta bölünür. Wayland uyğunluğunu təkmilləşdirmək üçün GNOME3 variantı klaviatura və siçan çəkilişinə nəzarət edərkən gdk_seat_grab()-a zəngdən istifadə edir.
- Linux-da istifadə olunan seccomp-bpf-əsaslı sandboxa fstatat64 sistem çağırışına yumşaq icazə verilmədi.
Mənbə: opennet.ru