দুর্বলতা সংশোধনসহ OpenSSH 10.6 প্রকাশিত হয়েছে

SSH 2.0 এবং SFTP-এর একটি ওপেন-সোর্স ক্লায়েন্ট ও সার্ভার সংস্করণ OpenSSH 10.6 প্রকাশিত হয়েছে। নিরাপত্তাজনিত সমস্যাগুলো সমাধান করা হয়েছে, যার বেশিরভাগই এআই টুল ব্যবহার করে কোড বিশ্লেষণের মাধ্যমে চিহ্নিত করা হয়েছিল (CVE আইডেন্টিফায়ার বরাদ্দ করা হয়নি):

• SFTP-এর একটি দুর্বলতার কারণে আক্রমণকারীদের দ্বারা নিয়ন্ত্রিত সার্ভার অ্যাক্সেস করার সময় টার্গেট ডিরেক্টরির বাইরে ফাইল লেখা সম্ভব হয়।
• sshd-তে GSSAPI ইমপ্লিমেন্টেশনের দুটি দুর্বলতা প্রমাণীকরণের প্রচেষ্টাগুলোর মধ্যে স্টেটের স্থায়িত্বের কারণে সৃষ্টি হয়েছিল। একটি ব্যর্থ প্রমাণীকরণ প্রচেষ্টার পরেও GSSAPI ক্রেডেনশিয়ালগুলো থেকে যেতে পারত এবং পরবর্তী একটি সফল প্রমাণীকরণ প্রচেষ্টার পর তা ব্যবহার করা যেত। যখন GSSAPIAuthentication সেটিংটি সক্রিয় করা থাকে, তখন এই সমস্যাগুলো প্রকাশ পায়।
• sshd এবং ssh-এ LZ77 কম্প্রেশন সাপোর্ট নিষ্ক্রিয় করা হয়েছে, কারণ এখানে একটি সাইড-চ্যানেল অ্যাটাকের সম্ভাবনা রয়েছে। এই অ্যাটাকের মাধ্যমে ভুক্তভোগীর সাথে একটি শেয়ার্ড মাল্টিপ্লেক্সড সংযোগের মাধ্যমে সংযুক্ত থাকাকালীন অন্য একটি সেশন থেকে কন্টেন্ট পুনরুদ্ধার করা সম্ভব হয়। এর মূল কারণ হলো, আক্রমণকারী-নিয়ন্ত্রিত ইনপুট প্রেরিত এনক্রিপ্টেড মেসেজের সামগ্রিক দৈর্ঘ্যকে প্রভাবিত করে (LZ77 পুনরাবৃত্ত স্ট্রিংগুলোকে সমস্ত চ্যানেলের জন্য ব্যবহৃত একটি বাফারের রেফারেন্স দিয়ে প্রতিস্থাপন করে)।
• ssh ইউটিলিটি কমান্ড লাইনে প্রবেশ করানো ইউজারনেমে '$' এবং '\' অক্ষরগুলোর ব্যবহার নিষিদ্ধ করে, কারণ সেটিংসে নির্দিষ্ট করা ProxyCommand এবং Match exec ডিরেক্টিভগুলোতে নাম প্রতিস্থাপন করার সময় এই অক্ষরগুলো কোড এক্সিকিউট করার জন্য ব্যবহৃত হতে পারে।
• ssh-keygen-এ ডেলাইট সেভিং টাইমের ভুল ব্যবস্থাপনার ত্রুটি সংশোধন করা হয়েছে, যার ফলে সার্টিফিকেটের মেয়াদ শেষ হওয়ার তারিখে ১ ঘণ্টার পরিবর্তন হচ্ছিল।
• sshd এবং ssh-এ জিপ বম্ব তৈরি হওয়া রোধ করতে, ডেটা আনপ্যাক করার সময় সর্বোচ্চ প্যাকেট সাইজ অতিক্রম করা হচ্ছে কিনা তা যাচাই করার জন্য একটি ব্যবস্থা যোগ করা হয়েছে।
• sshd-তে একটি সমস্যার সমাধান করা হয়েছে, যেখানে authorized_keys ফাইলের 'restrict' কীওয়ার্ডের সীমাবদ্ধতা এড়িয়ে যাওয়া হচ্ছিল এবং এটি টানেলগুলিতে (PermitTunnel) প্রয়োগ করা হচ্ছিল না।
• sshd-তে, Match ব্লকের ভিতরে 'none' অপশনটি আর ভুলভাবে পার্স করা হচ্ছিল না, যার ফলে AuthorizedPrincipalsFile-এর মতো কিছু ডিরেক্টিভে এটিকে ডিরেক্টিভটি নিষ্ক্রিয় থাকার ইঙ্গিত হিসেবে না দেখে একটি ফাইলের নাম হিসেবে ব্যাখ্যা করা হচ্ছিল।
• sshd-এর একটি বাগ সংশোধন করা হয়েছে, যেখানে যেসব প্ল্যাটফর্ম ফাইল ডেসক্রিপ্টর পাসিং সমর্থন করে না এবং PTY বরাদ্দ করার জন্য রুট প্রিভিলেজের প্রয়োজন হয়, সেখানে রুট প্রিভিলেজ ক্লিয়ার করা হচ্ছিল না। এই সমস্যাটি QNX 6, SCO OpenServer 5-এ এবং "--disable-fd-passing" অপশন ব্যবহার করে বিল্ড করার সময় দেখা দিত।

দুর্বলতা-সম্পর্কিত নয় এমন পরিবর্তনসমূহ:

• ssh-mldsa44-ed25519 হাইব্রিড ক্রিপ্টোগ্রাফিক অ্যালগরিদমটির জন্য সমর্থন সক্রিয় করা হয়েছে, যা কোয়ান্টাম কম্পিউটারে ব্রুট-ফোর্স আক্রমণ প্রতিরোধ করতে সক্ষম।
• কোয়ান্টাম-অপ্রতিরোধী কী অ্যাগ্রিমেন্ট অ্যালগরিদম ব্যবহার করে সংযোগ স্থাপন করার সময় সতর্কবার্তা প্রদর্শিত হবে কিনা, তা নিয়ন্ত্রণ করার জন্য sshd_config-এ WarnWeakCrypto অপশনটি প্রয়োগ করা হয়েছে এবং ডিফল্টরূপে সক্রিয় করা হয়েছে।
• FIDO টোকেনে থাকা রেসিডেন্ট কী অ্যাক্সেস করার আগে, ভেরিফিকেশনের প্রয়োজনীয়তা (পিন বা বায়োমেট্রিক্স) পূরণের জন্য ssh-keygen এবং ssh-add ক্রেডেনশিয়ালগুলিতে একটি credProtect পলিসি চেক প্রয়োগ করে।
• FIDO এবং PKCS#11 টোকেনগুলির জন্য ঐচ্ছিক পিন এন্ট্রি এড়িয়ে যেতে ssh-add-এ "-P" ফ্ল্যাগটি যোগ করা হয়েছে।
• ssh-এ, ~I কমান্ডটি স্থানীয় এবং দূরবর্তী সিস্টেমের সংস্করণ সম্পর্কিত তথ্য প্রদর্শন করে।
• sftp-তে, প্রয়োজনে ডিরেক্টরি তৈরি করার জন্য mkdir/lmkdir কমান্ডের সাথে '-p' ফ্ল্যাগটি যুক্ত করা হয়েছে।
• ssh-keygen-এ একটি 'হেক্সডাম্প' মোড যোগ করা হয়েছে, যার মাধ্যমে কী-গুলোকে হেক্সাডেসিমাল ডাম্প হিসেবে এক্সপোর্ট করা যায় (উদাহরণস্বরূপ, ডকুমেন্টেশনে পেস্ট করার জন্য)।
• ssh এবং sshd-তে, ChannelTimeout ডিরেক্টিভটি আপনাকে ভগ্নাংশ-সেকেন্ডের নির্ভুলতায় টাইমআউট নির্দিষ্ট করার সুযোগ দেয়।
• এজেন্ট ফরওয়ার্ড করার সময় $SSH_AUTH_SOCK-এর পাথ নির্দিষ্ট করার জন্য sshd-তে AgentSocketPath অপশনটি যোগ করা হয়েছে (যেমন, $HOME-এর সাবডিরেক্টরিগুলোর জন্য user:.ssh/agent এবং শেয়ার করা ডিরেক্টরিগুলোর জন্য shared:/tmp)।
• ssh-agent-এ এজেন্ট সকেটযুক্ত ডিরেক্টরি নির্দিষ্ট করার জন্য একটি "-A" ফ্ল্যাগ রয়েছে, যা AgentSocketPath অপশনের মতোই "user:" এবং "shared:" প্রিফিক্স নির্দিষ্ট করার সুযোগ দেয়।
• sshd-তে, পাবলিক কী ভেরিফিকেশন এখন অথেনটিকেশন অ্যাটেম্পট থেকে আলাদা। "PubkeyOptions max-pk-ok:nnnn" অপশনটি যোগ করা হয়েছে, যার মাধ্যমে MaxAuthTries লিমিট অনুযায়ী কতগুলো পাবলিক কী ভেরিফিকেশন অ্যাটেম্পট (ডিফল্টরূপে ৬টি) করা যাবে তা কনফিগার করা যায়, যার পরে কানেকশনটি বন্ধ করে দেওয়া হবে।
• ssh এবং sshd-তে, TCPKeepAlive অপশনটি এখন 'all' ভ্যালুটি সাপোর্ট করে, যা শুধু মূল কানেকশনের জন্যই নয়, বরং এর মাধ্যমে ফরওয়ার্ড করা কানেকশনগুলোর জন্যও কিপঅ্যালাইভ প্যাকেট পাঠাতে সক্ষম করে।

উত্স: opennet.ru