Апублікаваны рэліз OpenSSH 8.6, адчыненай рэалізацыі кліента і сервера для працы па пратаколах SSH 2.0 і SFTP. У новай версіі ўхіленая ўразлівасць у рэалізацыі дырэктывы LogVerbose, якая з'явілася ў мінулым выпуску і што дазваляе падняць узровень скіданай у лог адладкавай інфармацыі, у тым ліку рэалізаваць магчымасць фільтравання па шаблонах, функцыям і файлам, злучаным з кодам, выкананым са скінутымі прывілеямі падчас у sandbox-акружэнні.
Атакуючы, які дамогся атрыманні кантролю за непрывілеяваным працэсам пры дапамозе нейкай яшчэ не вядомай уразлівасці, можа выкарыстаць злучаную з LogVerbose праблему для абыходу sandbox-ізаляцыі і здзяйсненні нападу на працэс, выкананы з падвышанымі прывілеямі. Ужыванне ўразлівасці ў LogVerbose на практыку ацэньваецца як малаверагоднае, бо налада LogVerbose па змаўчанні адключаная і звычайна выкарыстоўваецца толькі падчас адладкі. Таксама для нападу патрабуецца знайсці новую ўразлівасць у непрывілеяваным працэсе.
Змены ў OpenSSH 8.6, не злучаныя са ўразлівасцю:
- У sftp і sftp-server рэалізавана новае пашырэнне пратаколу.[электронная пошта абаронена]», якое дае магчымасць SFTP-кліенту атрымаць звесткі аб усталяваных на серверы абмежаваннях, уключаючы ліміты на максімальны памер пакета і аперацый запісу і чытанні. У sftp новае пашырэнне задзейнічана для выбару аптымальнага памеру блокаў пры перадачы даных.
- У sshd_config для sshd дададзена настройка ModuliFile, якая дазваляе паказаць шлях да файла "moduli", які змяшчае групы для DH-GEX.
- У unit-тэсты дададзена зменная асяроддзі TEST_SSH_ELAPSED_TIMES для ўключэння вываду часу, які прайшоў з моманту запуску кожнага тэсту.
- Інтэрфейс для запыту пароля для GNOME падзелены на два варыянты, адзін для GNOME2, а другі для GNOME3 (contrib/gnome-ssk-askpass3.c). Варыянт для GNOME3 для паляпшэння сумяшчальнасці з Wayland выкарыстоўвае выклік gdk_seat_grab() пры кіраванні захопам клавіятуры і мышы.
- У ужывальны ў Linux sandbox на базе seccomp-bpf дададзеная мяккая забарона (soft-disallow) сістэмнага выкліку fstatat64.
Крыніца: opennet.ru