Пасля шасці месяцаў распрацоўкі апублікаваны рэліз OpenSSH 9.1, адчыненай рэалізацыі кліента і сервера для працы па пратаколах SSH 2.0 і SFTP. Выпуск характарызуецца як у асноўным утрымоўвальны выпраўленне памылак, у тым ліку ўхілена некалькіх патэнцыйных уразлівасцяў, выкліканых праблемамі пры працы з памяццю:
- Аднабайтавае перапаўненне ў кодзе апрацоўкі SSH-банера ва ўтыліце ssh-keyscan.
- Падвойны выклік функцыі free() у выпадку памылкі пры вылічэнні хэшаў для файлаў у кодзе стварэння і праверкі лічбавых подпісаў ва ўтыліце ssh-keygen.
- Падвойны выклік функцыі free() пры апрацоўцы памылак ва ўтыліце ssh-keysign.
Асноўныя змены:
- У ssh і sshd дададзена дырэктыва RequiredRSASize, якая дазваляе вызначыць мінімальна дапушчальны памер RSA-ключоў. У sshd ключы меншага памеру будуць ігнаравацца, а ў ssh прыводзіць да завяршэння злучэння.
- Пераносная рэдакцыя OpenSSH пераведзена на выкарыстанне SSH-ключоў для запэўнення лічбавым подпісам комітаў і тэгаў у Git.
- Дырэктывы SetEnv у файлах канфігурацыі ssh_config і sshd_config зараз ужываюць значэнне з першага згадвання зменнай асяроддзя, калі яна вызначана ў канфігурацыі некалькі разоў (да гэтага ўжывалася апошняе згадванне).
- Пры выкліку ўтыліты ssh-keygen са сцягам "-A" (генерацыя ўсіх падтрымліваемых па змаўчанні тыпаў хостовых ключоў) адключаная генерацыя ключоў DSA, якія ўжо некалькі гадоў не выкарыстоўваюцца па змаўчанні.
- У sftp-server і sftp рэалізавана пашырэнне[электронная пошта абаронена]», якое дае кліенту магчымасць запытаць імёны карыстальнікаў і груп, якія адпавядаюць паказанаму набору лічбавых ідэнтыфікатараў (uid і gid). У sftp дадзенае пашырэнне скарыстана для адлюстравання імёнаў пры выснове змесціва каталога.
- У sftp-server рэалізавана пашырэнне «home-directory» для расчынення шляхоў ~/ і ~user/, альтэрнатыўнае раней прапанаванаму для тых жа мэт пашырэнню «[электронная пошта абаронена]»(пашырэнне «home-directory» прапанавана для стандартызацыі і ўжо падтрымліваецца некаторымі кліентамі).
- У ssh-keygen і sshd дададзена магчымасць указання часу ў часавым поясе UTC пры вызначэнні інтэрвалаў дзеяння сертыфікатаў і ключоў, у дадатак да сістэмнага часу.
- У sftp дазволена ўказанне дадатковых аргументаў у опцыі "-D" (напрыклад, "/usr/libexec/sftp-server -el debug3").
- У ssh-keygen дазволена выкарыстанне сцяга "-U" (выкарыстанне ssh-agent) разам з аперацыямі "-Y sign" для вызначэння, што закрытыя ключы размешчаны ў ssh-agent.
Крыніца: opennet.ru