Vyjde OpenSSH 10.1

Bylo zveřejněno vydání OpenSSH 10.1, otevřené implementace klienta a serveru pro práci s protokoly SSH 2.0 a SFTP.

Hlavní změny:

• Byl vyřešen problém se zabezpečením, který útočníkovi umožňoval vkládat shellové příkazy prostřednictvím manipulace se speciálními znaky v uživatelském jménu nebo URI, které mohly být vykonány při spuštění příkazu zadaného v nastavení „ProxyCommand“ a obsahujícího substituci „%u“. Problém se týká pouze systémů, které při spuštění ssh umožňují substituci uživatelských jmen nebo URI získaných z nedůvěryhodných zdrojů.

  Aby se zablokovaly podobné útoky, bylo zakázáno používání ovládacích znaků v uživatelských jménech uvedených při spuštění z příkazového řádku nebo substituovaných do nastavení prostřednictvím %-sekvencí. Také bylo zakázáno použití nulového znaku („\0“) v URI ssh://. Výjimka platí pouze pro jména uvedená v konfiguračním souboru (předpokládá se, že tyto konfigurační soubory jsou důvěryhodné).
• Do utilit ssh a ssh-agent byla přidána podpora klíčů ed25519, které se ukládají v tokenech PKCS#11.
• Do konfiguračního souboru ssh_config byla přidána volba RefuseConnection, při jejímž zpracování se v aktivní sekci provádí ukončení procesu s výstupem zprávy o chybě bez pokusu o navázání spojení. Match host foo RefuseConnection „host foo již není používán, připojte se k hostu bar“
• Do ssh a sshd byly přidány obslužné rutiny signálu SIGINFO pro zápis do logu informací o relaci a aktivním kanálu.
• V sshd, pokud je odmítnuta autentizace uživatele na základě certifikátu, se v logu zobrazí nejen důvod zablokování přístupu, ale také podrobné informace pro identifikaci problematického certifikátu.
• Do sshd byla přidána kontrola čísla displeje X11 ve vztahu k offsetu uvedenému v direktivě X11DisplayOffset.
• Do sady unit testů byly přidány možnosti měření výkonu, které se aktivují při spuštění „make UNITTEST_BENCHMARK=yes“ v OpenBSD nebo „make unit-bench“ v ostatních systémech.

Změny, které potenciálně narušují zpětnou kompatibilitu:

• V ssh byla přidána výstraha při použitém algoritmu dohodování klíčů, který není odolný vůči útokům kvantových počítačů. Výstraha byla přidána kvůli riziku budoucích útoků pomocí dříve uložených výpisů datového provozu. Pro vypnutí této výstrahy byla do ssh_config přidána možnost WarnWeakCrypto. Match host unsafe.example.com WarnWeakCrypto no
• V ssh a sshd došlo k výrazné změně zpracování parametrů kvality služeb DSCP (IPQoS). Pro interaktivní provoz je nyní výchozí třída EF (Expedited Forwarding) pro prioritnější zpracování v bezdrátových sítích. Pro neinteraktivní provoz je nastavena třída, kterou obvykle používá operační systém. Třídu provozu lze změnit pomocí nastavení IPQoS v ssh_config a sshd_config. Parametry ToS (type-of-service) pro IPv4 v direktivě IPQoS jsou považovány za zastaralé (na místě ToS nyní je DSCP).
• V ssh-add při přidávání certifikátu do ssh-agent byl implementován čas životnosti certifikátu, který je o 5 minut delší než platnost certifikátu (pro automatické odstranění prošlého certifikátu). Pro vypnutí tohoto chování byla do ssh-add přidána možnost „-N“.
• Byla odstraněna podpora XMSS klíčů, které byly označeny jako experimentální a nikdy nebyly výchozí.
• Unixové sokety, které vytvářejí procesy ssh-agent a sshd, byly přesunuty z adresáře /tmp do ~/.ssh/agent, což zaručuje, že k těmto soketům se nemůže dostat izolované procesy, pro které je omezený přístup k souborovému systému, ale mají přístup do /tmp.

V budoucích verzích budou označeny jako zastaralé DNS záznamy SHA1 SSHFP kvůli problémům s důvěryhodností hashovací funkce SHA1. Tyto záznamy budou ignorovány, a příkaz „ssh-keygen -r“ bude generovat pouze záznamy SHA256 SSHFP.

Zdroj: opennet.ru