Bylo vydáno OpenSSH 9.6, otevřené implementace klienta a serveru pro práci s protokoly SSH 2.0 a SFTP. V nové verzi bylo odstraněno tři bezpečnostní nedostatky:
- Zranitelnost v protokolu SSH (CVE-2023-48795, útok „Terrapin“), která umožňuje během útoku MITM vrátit připojení na používání méně zabezpečených algoritmů autentizace a vypnout ochranu proti útokům prostřednictvím bočních kanálů, které reprodukují vstup na základě analýzy zpoždění mezi stisky kláves na klávesnici. Metoda útoku je popsána v samostatné zprávě.
- Zranitelnost v nástroji ssh, která umožňuje injekci libovolných shellových příkazů prostřednictvím manipulace s hodnotami přihlášení a hostitele, které obsahují speciální znaky. Zranitelnost lze zneužít, pokud útočník kontroluje hodnoty přihlášení a názvu hostitele, které jsou předávány do ssh, směrnice ProxyCommand a LocalCommand nebo bloky „match exec“, ve kterých jsou uvedeny nahrazovací znaky jako %u a %h. Například chybný přihlašovací údaj a hostitel mohou být vloženy v systémem používající submoduly v Gitu, protože Git neomezuje použití speciálních znaků v názvu hostitele a uživatele. Podobná zranitelnost se rovněž projevuje v libssh.
- Chyba v ssh-agentu, kvůli které se při přidávání soukromých klíčů PKCS#11 uplatňovala omezení pouze na první klíč, který token PKCS#11 vrátil. Problém se netýká běžných soukromých klíčů, tokenů FIDO a klíčů, které jsou zadány bez omezení.
Další změny:
- Do ssh byla přidána náhrada „%j“, která se rozšiřuje na název hostitele uvedený pomocí směrnice ProxyJump.
- Do ssh byla přidána podpora nastavení ChannelTimeout na straně klienta, která může být použita k ukončení neaktivních kanálů.
- Do ssh, sshd, ssh-add a ssh-keygen byla přidána podpora pro čtení soukromých klíčů ED25519 ve formátu PEM PKCS8 (dříve byl podporován pouze formát OpenSSH).
- Do ssh a sshd byla přidána rozšíření protokolu pro opětovné sjednávání algoritmů digitálního podpisu pro autentizaci na základě veřejných klíčů, která se provádí ve fázi po obdržení údajů o uživatelském jménu. Například pomocí rozšíření lze selektivně používat jiné algoritmy v návaznosti na uživatele prostřednictvím uvedení PubkeyAcceptedAlgorithms v bloku „Match user“.
- V ssh-add a ssh-agent bylo přidáno rozšíření protokolu pro nastavení certifikátů při načítání klíčů PKCS#11, což umožňuje používat certifikáty spojené s privátními klíči PKCS#11 ve všech utilitách OpenSSH, které podporují ssh-agent, a ne pouze v ssh.
- Bylo vylepšeno určování nepodporovaných nebo nestabilních flagů překladače, jako je „-fzero-call-used-regs“ v clang.
- Pro omezení privilegií procesu sshd v verzích OpenSolaris, které podporují rozhraní getpflags(), byl použit režim PRIV_XPOLICY místo PRIV_LIMIT.
Zdroj: opennet.ru
