Després de sis mesos de desenvolupament, s'ha publicat el llançament d'OpenSSH 9.1, una implementació oberta d'un client i servidor per treballar amb els protocols SSH 2.0 i SFTP. La versió es caracteritza per contenir majoritàriament correccions d'errors, incloses diverses vulnerabilitats potencials causades per problemes de memòria:
- Desbordament d'un byte al codi de processament de banners SSH a la utilitat ssh-keyscan.
- Doble trucada a la funció free() en cas d'error en calcular els hash dels fitxers del codi per crear i verificar signatures digitals a la utilitat ssh-keygen.
- Doble trucada a la funció free() quan es gestionen errors a la utilitat ssh-keysign.
Principals canvis:
- La directiva RequiredRSASize s'ha afegit a ssh i sshd, la qual cosa us permet determinar la mida mínima permesa de les claus RSA. En sshd, les claus més petites s'ignoraran, i en ssh donaran lloc a la finalització de la connexió.
- L'edició portàtil d'OpenSSH s'ha convertit per utilitzar claus SSH per signar commits i etiquetes digitalment a Git.
- Les directives SetEnv dels fitxers de configuració ssh_config i sshd_config ara apliquen el valor de la primera menció de la variable d'entorn si es defineix més d'una vegada a la configuració (anteriorment s'aplicava l'última menció).
- Quan es crida a la utilitat ssh-keygen amb el senyalador "-A" (generant tots els tipus de claus d'amfitrió admeses per defecte), es desactiva la generació de claus DSA, que no s'han utilitzat per defecte durant diversos anys.
- sftp-server i sftp implementen l'extensió "[protegit per correu electrònic]", donant al client la possibilitat de sol·licitar noms d'usuari i grup corresponents a un conjunt especificat d'identificadors digitals (uid i gid). A sftp, aquesta extensió s'utilitza per mostrar noms quan es mostren els continguts d'un directori.
- sftp-server implementa l'extensió "home-directory" per expandir els camins ~/ i ~user/, una alternativa a l'extensió proposada anteriorment "[protegit per correu electrònic]"(l'extensió "home-directory" es proposa per a l'estandardització i ja és compatible amb alguns clients).
- ssh-keygen i sshd afegeixen la possibilitat d'especificar l'hora a la zona horària UTC quan es determinen els intervals de validesa de certificats i claus, a més de l'hora del sistema.
- sftp permet especificar arguments addicionals amb l'opció "-D" (per exemple, "/usr/libexec/sftp-server -el debug3").
- ssh-keygen permet l'ús de la marca "-U" (utilitza ssh-agent) juntament amb les operacions "-Y sign" per determinar que les claus privades estan allotjades per ssh-agent.
Font: opennet.ru