Публикуван е OpenSSH 10.5, отворено решение за клиент и сървър за работа с протоколи SSH 2.0 и SFTP. Основни промени:
- За работа с преносимата версия на OpenSSH вече е необходимо поддръжката на криптография, базирана на елиптични криви (ECC – Elliptic Curve Cryptography) в библиотеката libcrypto, включително поддръжка на елиптичната крива NISTP521. В реализациите на libcrypto от проектите LibreSSL, OpenSSL, BoringSSL и AWS LC подобна поддръжка е включена по подразбиране.
- В утилитата ssh-keygen при нулиране на парола за частни ключове за токени FIDO е реализирано задаването на флаговете touch-required и verify-required, които изискват потвърждение от потребителя.
- В утилитата ssh е променен редът на прилагане на сертификатите при удостоверяване с публични ключове — първи се прилагат FIDO-ключовете, които не изискват действия от страна на потребителя, а на последно място са ключовете, които искат проверка с PIN-код или биометрия.
- Добавена е команда „ssh -Z user“, която извежда ключовете в реда на тяхното използване за удостоверяване с публични ключове.
- Проблеми със сигурността са отстранени:
- Коригирана е неправилната обработка на заявки за свързване на сесии при блокиране на SSH Agent, което водеше до това, че вместо отказ на достъп, SSH Agent позволяваше отдалечено извършване на операции, които трябваше да бъдат достъпни само локално, като добавяне на PKCS#11 токени и използване на ключове, свързани в настройките с конкретни сървъри.
- В ssh-клиента е отстранен потенциален достъп до памет след освобождаването й (use-after-free), проявяващ се при мултиплексиране на SSH връзки през един сокет в случай на добавяне на ново пренасочване на порта в момента, когато клиентът все още чака от сървъра отговор за отваряне на предходното пренасочване.
- В sshd е осигурено коректното прилагане на ограничения, зададени чрез флага „restrict“ в файла authorized_keys, за пренасочвани тунели.
Източник: opennet.ru
