Po půl roce vývoje byl vydán OpenSSH 10.3, otevřená implementace klienta a serveru pro práci s protokoly SSH 2.0 a SFTP. Hlavní změny:
- Opravená zranitelnost, která útočníkovi, jenž ovládá uživatelské jméno předávané při spouštění nástroje ssh, potenciálně umožňuje vykonání libovolných shellových příkazů. Zranitelnost se projevila v systémech, které používají zástupce „%u“ v některých direktivách konfiguračního souboru, jako je „Match exec“. Problém byl způsoben kontrolou speciálních znaků v uživatelském jménu ve fázi po provedení %-zástupců v souboru ssh_config.
- Opravený bezpečnostní problém v sshd, způsobený nesprávným porovnáním volby authorized_keys principals="" se seznamem jmen (principal) v certifikátu v situaci, kdy je v jménech uveden znak „,“ . K exploataci zranitelnosti je třeba, aby bylo uvedeno více jmen v možnosti authorized_keys principals="" a certifikační autorita vydala certifikát s více jmény oddělenými čárkou (což obvykle není povoleno). Změněno chování pro certifikáty s prázdným jménem — dříve prázdné jméno spadalo pod všechny možnosti authorized_keys principals="", nyní už ne.
- V scp byla vyřešena situace, kdy po stažení souboru s právy root s uvedením volby „-O“ a bez volby „-p“ nezůstávaly vyčištěné příflags setuid/setgid.
- V sshd byla opravena problém s zpracováním klíčů ECDSA v direktivách PubkeyAcceptedAlgorithms a HostbasedAcceptedAlgorithms, která způsobila, že v případě použití jakéhokoliv algoritmu ECDSA (například „ecdsa-sha2-nistp384“) začaly být akceptovány i všechny ostatní algoritmy založené na ECDSA, i když nebyly výslovně uvedeny na seznamu povolených.
- V ssh a sshd byla při interakci se SSH agenty přidána podpora identifikátorů (codepoint), definovaných IANA ve specifikaci draft-ietf-sshm-ssh-agent. Podpora dříve používaných identifikátorů ve formátu „@openssh.com“ byla zachována.
- V ssh-agent bylo realizováno rozšíření „query“, definované ve specifikaci draft-ietf-sshm-ssh-agent, které umožňuje určit podporované funkce agenta. Pro dotazování na seznam podporovaných rozšíření protokolu prostřednictvím dotazu „query“ byla do nástroje ssh-add přidána volba „-Q“.
- V sshd_config bylo povoleno uvedení více souborů v direktivě RevokedKeys, a v ssh_config — v direktivě RevokedHostKeys.
- Do ssh byla přidána escape-commands „~I“ a volba „-O conninfo“ pro zobrazení informací o aktuálním připojení, stejně jako volba „-O channels“ pro zobrazení informací o otevřených kanálech.
- V sshd byla v direktivě PerSourcePenalties implementována volba ‚invaliduser‘ pro přidání zpoždění v případě pokusu o přihlášení pod neexistujícím uživatelským jménem (výchozí 5 sekund). Byla přidána možnost zadávání necelých hodnot zpoždění.
- Do sshd byla přidána volba GSSAPIDelegateCredentials pro správu přijímání delegovaných přihlašovacích údajů poskytnutých klientem.
- Do ssh-keygen byla přidána podpora zápisu klíčů ED25519 v formátu PKCS8.
- Byla přidána podpora schématu digitálních podpisů ed25519, implementovaná přes libcrypto.
Zdroj: opennet.ru
