Публикувана е версия 9.3 на OpenSSH, отворено реализирано клиент и сървър за работа с протоколите SSH 2.0 и SFTP. В новата версия са отстранени проблеми със сигурността:
- В утилитата ssh-add е открита логическа грешка, при която при добавяне на ключове за смарткарти в ssh-agent, ограниченията задавани с опцията «ssh-add -h» не са предавани на агента. В резултат в агента е добавен ключ, за който не са приложими ограничения, позволяващи свързвания само от определени хостове.
- В утилитата ssh е открита уязвимост, която може да доведе до четене на данни извън заделен буфер в областта на стека при обработка на специално оформени DNS отговори, ако в конфигурационния файл е активирана настройката VerifyHostKeyDNS. Проблемът съществува във вградената реализация на функцията getrrsetbyname(), която се използва в преносимите версии на OpenSSH, събирани без използване на външната библиотека ldns (—with-ldns) и на системи със стандартни библиотеки, които не поддържат извикването на getrrsetbyname(). Вероятността за експлоатация на уязвимостта, освен за иницииране на отказ на услугата на клиента ssh, се оценява като малко вероятна.
Допълнително е необходимо да се отбележи уязвимостта в библиотеката libskey, която е част от OpenBSD и се използва в OpenSSH. Проблемът съществува от 1997 година и може да доведе до препълване на буфера в стека при обработка на специално оформени имена на хостове. Отбелязва се, че, въпреки че проявлението на уязвимостта може да бъде инициирано дистанционно чрез OpenSSH, в практиката уязвимостта е безполезна, тъй като за нейното проявление името на атакувания хост (/etc/hostname) трябва да съдържа повече от 126 знака, а буферът може да бъде препълнен само с нулеви символи (‘\0’).
Сред измененията, несвързани с безопасността:
- В ssh-keygen и ssh-keyscan е добавена поддръжка на параметъра «-Ohashalg=sha1|sha256» за избор на алгоритъм за показване на отпечатъците SSHFP.
- В sshd е добавена опция «-G» за разбор и показване на активната конфигурация без опити за зареждане на затворени ключове и без извършване на допълнителни проверки, което позволява проверка на конфигурацията на етапа преди генериране на ключове и стартиране на проверка от непривилегировани потребители.
- В sshd е укрепена изолацията на платформата Linux, използваща механизми за филтриране на системни повици seccomp и seccomp-bpf. В списъка на разрешените системни повици са добавени флагове към mmap, madvise и futex.
Източник: opennet.ru
