Byl vydán OpenSSH 9.3, otevřená implementace klienta a serveru pro práci se servery SSH 2.0 a SFTP. Nové verze opravují bezpečnostní problémy:
- V utilitě ssh-add byla nalezena logická chyba, kvůli které při přidávání klíčů pro smartkarty do ssh-agentu nebyla agentovi předána omezení uvedená pomocí volby „ssh-add -h“. V důsledku toho byl do agenta přidán klíč, pro který nebyla aplikována omezení, umožňující připojení pouze z určitých hostitelů.
- V utilitě ssh byla nalezena zranitelnost, která může vést ke čtení dat ze zásobníku mimo vyhrazený buffer při zpracování speciálně formátovaných DNS odpovědí, když je v konfiguračním souboru povolena nastavení VerifyHostKeyDNS. Problém se vyskytuje ve vestavěné implementaci funkce getrrsetbyname(), která se používá v přenositelných verzích OpenSSH, sestavovaných bez použití externí knihovny ldns (—with-ldns) a na systémech se standardními knihovnami, které nepodporují volání getrrsetbyname(). Možnost využití zranitelnosti, kromě iniciace odmítnutí služby klienta ssh, je hodnocena jako málo pravděpodobná.
Dále nelze opomenout zranitelnost v knihovně libskey, která je součástí OpenBSD a je používána v OpenSSH. Problém existuje od roku 1997 a může vést k přetečení zásobníku při zpracování speciálně formátovaných názvů hostitelů. Upozorňuje se, že ačkoliv může být zranitelnost iniciována zdaleka prostřednictvím OpenSSH, v praxi je tato zranitelnost neúčinná, neboť pro její aktivaci musí název napadeného hostitele (/etc/hostname) obsahovat více než 126 znaků a buffer může být přetečen pouze nulovými znaky (‘\0’).
Mezi změnami nesouvisejícími s bezpečností:
- Do ssh-keygen a ssh-keyscan byla přidána podpora pro parametr „-Ohashalg=sha1|sha256“ pro výběr algoritmu pro zobrazení sshfp.
- Do sshd byla přidána volba „-G“ pro analýzu a zobrazení aktivní konfigurace bez pokusu o načtení soukromých klíčů a bez provádění dalších kontrol, což umožňuje kontrolu konfigurace ve fázi před generováním klíčů a umožňuje neprivilegovaným uživatelům provádět kontroly.
- V sshd byla posílena izolace na platformě Linux, která využívá mechanismy filtrování systémových volání seccomp a seccomp-bpf. Do seznamu povolených systémových volání byly přidány příznaky k mmap, madvise a futex.
Zdroj: opennet.ru
