Публикувана версия OpenSSH 10.5, отворена реализация на клиент и сървър за работа с протоколите SSH 2.0 и SFTP. Основни промени:
- За работа на преносимата версия на OpenSSH сега е необходимо наличие на поддръжка на криптография на база елиптични криви (ECC – Elliptic Curve Cryptography) в библиотеката libcrypto, включително поддръжка на елиптичната крива NISTP521. В реализациите на libcrypto от проектите LibreSSL, OpenSSL, BoringSSL и AWS LC подобна поддръжка е включена по подразбиране.
- В утилитата ssh-keygen при нулиране на паролата към частните ключове за токени FIDO е реализирано задаването на флаговете touch-required и verify-required, които изискват потвърждение от потребителя.
- В утилитата ssh е променен редът на прилагане на сертификатите при удостоверяване по открити ключове — преди всичко сега се прилагат FIDO-ключове, които не изискват действия от потребителя, а на последно място ключове, които изискват верификация по PIN-код или биометрия.
- Добавена е команда «ssh -Z user», която извежда ключовете в реда на тяхното използване за удостоверяване по открити ключове.
- Премахнати са проблеми с безопасността:
- Коригирана е некоректната обработка на заявките за свързване на сесиите при блокировка на SSH Agent, която довежда до това, че вместо отказ на достъп, SSH Agent позволява отдалечено изпълнение на операции, които трябва да са достъпни само локално, като добавяне на PKCS#11 токени и използване на ключове, свързани в настройките към конкретни сървъри.
- В ssh-клиента е отстранен потенциален достъп до паметта след нейното освобождаване (use-after-free), проявяващ се при мултиплексиране на SSH връзки през един сокет в случай на добавяне на ново пренасочване на портове, когато клиентът все още чака отговор на отварянето на предишното пренасочване. сървър отговор на отварянето на предишното пренасочване.
- В sshd е уредено коректното прилагане на ограничения, зададени чрез флага «restrict» в файла authorized_keys, за пренасочените тунели.
Източник: opennet.ru
