Vydání OpenSSH 8.3 odstranilo zranitelnost v scp

Po třech měsících vývoje byl představen vydání OpenSSH 8.3, otevřené implementaci klienta a serveru pro práci s protokoly SSH 2.0 a SFTP.

V nové verzi byla přidána ochrana proti útoku na scp, který umožňuje serveru posílat jiná jména souborů odlišná od požadovaných (na rozdíl od minulé zranitelnosti, útok neumožňuje změnit vybraný uživatelský adresář nebo glob-masku). Připomeňme, že u SCP server rozhoduje, jaké soubory a adresáře poslat klientovi, zatímco klient pouze ověřuje správnost vrácených jmen objektů. Podstata zjištěného problému spočívá v tom, že pokud systémový volání utimes skončí chybou, obsah souboru je interpretován jako metadata souboru.

Tato vlastnost při připojení k serveru ovládanému útočníkem může být využita k uchovávání v uživatelské FS jiných jmen souborů a jiného obsahu při kopírování pomocí scp v konfiguracích, které způsobují selhání při volání utimes (například při zákazu utimes politikou SELinux nebo filtrem systémových volání). Pravděpodobnost provedení skutečných útoků je hodnocena jako minimální, protože ve typických konfiguracích volání utimes nekončí selháním. Kromě toho útok neprochází bez povšimnutí — při volání scp se zobrazuje chyba přenosu dat.

Obecné změny:

• V sftp byla zastavena zpracování argumentu „-1“ obdobně jako u ssh a scp, který dříve byl přijat, ale ignorován;
• V sshd při použití IgnoreRhosts nyní existují tři možnosti výběru: „yes“ — ignorovat rhosts/shosts, „no“ — zahrnout rhosts/shosts a „shosts-only“ — povolit „.shosts“, ale zakázat „.rhosts“;
• V ssh je zajištěno zpracování substituce %TOKEN v nastaveních LocalForward a RemoteForward používaných pro přesměrování Unix-socketů;
• Bylo povoleno načítání veřejných klíčů z nezakódovaného souboru s privátním klíčem, pokud chybí samostatný soubor s veřejným klíčem;
• Při přítomnosti v systému libcrypto nyní ssh a sshd používá implementaci algoritmu chacha20 z této knihovny namísto vestavěné přenosné implementace, která zaostává výkonem;
• Byla implementována možnost výpisu obsahu binárního seznamu odvolaných certifikátů při provádění příkazu „ssh-keygen -lQf /path“;
• V přenosné verzi byla implementována definice systémů, ve kterých signály s možností SA_RESTART přerušují funkci select;
• Byly vyřešeny problémy se sestavením v systémech HP/UX a AIX;
• Odstraněny problémy se sestavením seccomp sandboxu v některých konfiguracích Linuxu;
• Bylo vylepšeno rozpoznávání knihovny libfido2 a vyřešeny problémy se sestavením s možností "--with-security-key-builtin".

Vývojáři OpenSSH znovu varovali před blížícím se převedením algoritmů používajících hash SHA-1 do stavu zastaralosti, vzhledem k zvyšování efektivity kolizních útoků s daným prefixem (náklady na nalezení kolize se odhadují na přibližně 45 tisíc dolarů). V jednom z nejbližších vydání plánují ve výchozím nastavení deaktivovat možnost použití algoritmu digitálního podpisu s otevřeným klíčem „ssh-rsa“, který je zmíněn v původním RFC pro protokol SSH a zůstává široce rozšířený v praxi (pro ověření použití ssh-rsa ve svých systémech můžete vyzkoušet připojit se pomocí ssh s možností „-oHostKeyAlgorithms=-ssh-rsa“).

Aby se usnadnil přechod na nové algoritmy v OpenSSH, bude v jednom z následujících vydání ve výchozím nastavení povolena nastavení UpdateHostKeys, které umožní automatický přechod klientů na spolehlivější algoritmy. Mezi doporučené algoritmy pro migraci patří rsa-sha2-256/512 na základě RFC8332 RSA SHA-2 (podporováno od OpenSSH 7.2 a používá se ve výchozím nastavení), ssh-ed25519 (podporováno od OpenSSH 6.5) a ecdsa-sha2-nistp256/384/521 na základě RFC5656 ECDSA (podporováno od OpenSSH 5.7).

Od posledního vydání byly „ssh-rsa“ a „diffie-hellman-group14-sha1“ odstraněny ze seznamu CASignatureAlgorithms, určujícího algoritmy povolené pro digitální podpis nových certifikátů, protože používání SHA-1 v certifikátech zvyšuje riziko, že útočník má neomezený čas na nalezení kolize pro existující certifikát, zatímco čas útoku na hostitelské klíče je omezen timeoutem připojení (LoginGraceTime).

Zdroj: opennet.ru