Po šesti měsících vývoje byl publikován release OpenSSH 9.1, otevřené realizace klienta a serveru pro práci s protokoly SSH 2.0 a SFTP. Vydání je charakterizováno převážně jako opravné, včetně odstranění několika potenciálních zranitelností způsobených problémy s pamětí:
- Jednobajtové přeplnění v kódu zpracování SSH banneru v utilitě ssh-keyscan.
- Dvojitý volání funkce free() v případě chyby při výpočtu hashů pro soubory v kódu vytváření a ověřování digitálních podpisů v utilitě ssh-keygen.
- Dvojitý volání funkce free() při zpracování chyb v utilitě ssh-keysign.
Hlavní změny:
- Do ssh a sshd byla přidána direktiva RequiredRSASize, která umožňuje určit minimálně povolenou velikost RSA klíčů. V sshd budou klíče menší velikosti ignorovány, zatímco v ssh to povede k ukončení spojení.
- Přenosná verze OpenSSH byla převedena na používání SSH klíčů pro ověřování digitálního podpisu commitů a tagů v Gitu.
- Direktivy SetEnv v konfiguračních souborech ssh_config a sshd_config nyní aplikují hodnotu z prvního zmínění proměnné prostředí, pokud byla v konfiguraci definována několikrát (předtím se používalo poslední zmínění).
- Při volání utilitě ssh-keygen s parametrem „-A“ (generování všech podporovaných výchozích typů hostitelských klíčů) byla zakázána generace DSA klíčů, které se již několik let nepoužívají jako výchozí.
- Ve sftp-server a sftp bylo implementováno rozšíření „users-groups-by-id@openssh.com“, které umožňuje klientovi požádat o názvy uživatelů a skupin odpovídající zadané sadě digitálních identifikátorů (uid a gid). V sftp bylo toto rozšíření použito k zobrazení jmen při výpisu obsahu adresáře.
- Ve sftp-server bylo implementováno rozšíření „home-directory“ pro rozšíření cest ~\/ a ~user\/, alternativní dříve navrhovanému rozšíření „expand-path@openssh.com“ (rozšíření „home-directory“ bylo navrženo pro standardizaci a již podporuje některé klienty).
- Do ssh-keygen a sshd byla přidána možnost specifikovat čas v časovém pásmu UTC při určování intervalů platnosti certifikátů a klíčů, kromě systémového času.
- V sftp bylo povoleno uvedení dodatečných argumentů v parametru „-D“ (např. „\/usr\/libexec\/sftp-server -el debug3“).
- V ssh-keygen je povoleno použití příznaku „-U“ (použití ssh-agent) spolu s operacemi „-Y sign“ pro určení, že soukromé klíče jsou umístěny v ssh-agent.
Zdroj: opennet.ru
