Pag-update sa OpenSSH 9.3 nga adunay mga pag-ayo sa seguridad

Ang pagpagawas sa OpenSSH 9.3 gimantala, usa ka bukas nga pagpatuman sa usa ka kliyente ug server alang sa pagtrabaho gamit ang SSH 2.0 ug SFTP protocols. Ang bag-ong bersyon nag-ayo sa mga problema sa seguridad:

• Ang usa ka lohikal nga sayup nakit-an sa ssh-add utility tungod niini, kung gidugang ang mga yawe alang sa mga smart card sa ssh-agent, ang mga pagdili nga gipiho gamit ang kapilian nga "ssh-add -h" wala ipasa sa ahente. Ingon usa ka sangputanan, usa ka yawe ang gidugang sa ahente, diin wala’y mga pagdili nga gipadapat, nga gitugotan ang mga koneksyon gikan sa pipila nga mga host.
• Nailhan ang usa ka kahuyangan sa ssh utility nga mahimong motultol sa pagbasa sa datos gikan sa stack area sa gawas sa gigahin nga buffer sa pagproseso sa espesyal nga gi-format nga DNS nga mga tubag, kung ang VerifyHostKeyDNS setting gipagana sa configuration file. Ang problema anaa sa built-in nga pagpatuman sa getrrsetbyname() function, nga gigamit sa madaladala nga mga bersyon sa OpenSSH nga gihugpong nga walay paggamit sa external ldns library (-with-ldns) ug sa mga sistema nga adunay standard nga mga librarya nga dili mosuporta sa getrrsetbyname( ) tawag. Ang posibilidad sa pagpahimulos sa pagkahuyang, gawas sa pagsugod sa usa ka pagdumili sa serbisyo sa kliyente sa ssh, gibanabana nga dili mahimo.

Dugang pa, mahimo nimong matikdan ang usa ka kahuyangan sa librarya sa libskey nga gilakip sa OpenBSD, nga gigamit sa OpenSSH. Ang problema anaa na sukad sa 1997 ug mahimong hinungdan sa usa ka stack buffer overflow sa diha nga pagproseso sa espesyal nga pormat hostname. Namatikdan nga bisan pa sa kamatuoran nga ang pagpakita sa kahuyang mahimong masugdan sa layo pinaagi sa OpenSSH, sa praktis ang kahuyang walay kapuslanan, tungod kay aron kini magpakita sa iyang kaugalingon, ang ngalan sa giatake nga host (/etc/hostname) kinahanglang adunay labaw pa sa 126 ka mga karakter, ug ang buffer mahimo lamang nga mapuno sa mga karakter nga adunay zero code ('\0').

Ang mga pagbag-o sa dili seguridad naglakip sa:

• Gidugang nga suporta para sa "-Ohashalg=sha1|sha256" parameter sa ssh-keygen ug ssh-keyscan aron mapili ang SSHFP nugget display algorithm.
• Gidugang sa sshd ang usa ka "-G" nga kapilian aron ma-parse ug ipakita ang aktibo nga pagsumpo nga wala’y pagsulay sa pagkarga sa mga pribado nga yawe ug wala maghimo dugang nga mga tseke, nga nagtugot kanimo nga susihon ang pagsumpo sa yugto sa wala pa ang yawe nga henerasyon ug ipadagan ang tseke sa mga wala’y pribilehiyo nga tiggamit.
• Ang sshd nagpalambo sa pagkalain sa plataporma sa Linux pinaagi sa paggamit sa seccomp ug seccomp-bpf system call filtering mechanisms. Ang mga bandera alang sa mmap, madvise ug futex gidugang sa lista sa gitugotan nga mga tawag sa sistema.

Source: opennet.ru