Апублікаваны выпуск OpenSSH 10/05, адкрытай рэалізацыі кліента і сервера для працы па пратаколах SSH 2.0 і SFTP. Асноўныя змены:
- Для працы пераноснай версіі OpenSSH зараз патрабуецца наяўнасць падтрымкі крыптаграфіі на базе эліптычных крывых (ECC – Elliptic Curve Cryptography) у бібліятэцы libcrypto, уключаючы падтрымку эліптычнай крывой NISTP521. У рэалізацыях libcrypto ад праектаў LibreSSL, OpenSSL, BoringSSL і AWS LC падобная падтрымка ўключана па змаўчанні.
- Ва ўтыліце ssh-keygen пры скідзе пароля да зачыненых ключоў для токенаў FIDO рэалізавана выстаўленне сцягоў touch-required і verify-required, патрабавальных атрыманні пацверджання ад карыстача.
- Ва ўтыліце ssh зменены парадак ужывання сертыфікатаў пры аўтэнтыфікацыі па адчыненых ключах — у першую чаргу зараз ужываюцца FIDO-ключы, не патрабавальныя дзеянняў з боку карыстача, а ў апошнюю чаргу ключы, якія запытваюць верыфікацыю па PIN-кодзе або біяметрыі.
- Дададзена каманда "ssh -Z user", якая выводзіць ключы ў парадку іх выкарыстання для аўтэнтыфікацыі па адчыненых ключах.
- Ухілены праблемы з бяспекай:
- Выпраўленая некарэктная апрацоўка запытаў на прывязку сесіі пры блакаванні SSH Agent, якая прыводзіла да таго, што замест адмовы ў доступе, SSH Agent дазваляў выдалена выконваць аперацыі, якія павінны былі быць даступныя толькі лакальна, такія як даданне PKCS#11 токенаў і выкарыстанне ключоў, прывязаных у наладах да пэўных сервераў.
- У ssh-кліенце ўхілена патэнцыйны зварот да памяці пасля яе вызвалення (use-after-free), якое выяўляецца пры мультыплексаванні SSH-падлучэнняў праз адзін сокет у выпадку дадання новага пракіду партоў у момант, калі кліент усё яшчэ чакае ад сервера адказу на адкрыццё папярэдняга пракіду.
- У sshd наладжана карэктнае ўжыванне абмежаванняў, зададзеных праз сцяг "restrict" у файле authorized_keys, для перанакіроўваных тунэляў.
Крыніца: opennet.ru
