Byla vydána verze OpenSSH 10.5, otevřené implementace klienta a serveru pro protokoly SSH 2.0 a SFTP. Hlavní změny:
- Pro použití přenosné verze OpenSSH je nyní vyžadována podpora kryptografie na bázi eliptických křivek (ECC – Elliptic Curve Cryptography) v knihovně libcrypto, včetně podpory eliptické křivky NISTP521. V implementacích libcrypto od projektů LibreSSL, OpenSSL, BoringSSL a AWS LC je tato podpora zapnuta ve výchozím nastavení.
- V nástroji ssh-keygen byly při resetování hesla k uzavřeným klíčům pro FIDO tokeny implementovány příznaky touch-required a verify-required, které vyžadují potvrzení od uživatele.
- V nástroji ssh byl změněn pořádek použití certifikátů při autentizaci pomocí veřejných klíčů — nejprve se nyní používají FIDO klíče, které nevyžadují akce ze strany uživatele, a jako poslední klíče, které požadují ověření pomocí PIN kódu nebo biometrie.
- Byl přidán příkaz „ssh -Z user“, který zobrazuje klíče v pořadí jejich využití pro autentizaci pomocí veřejných klíčů.
- Byly odstraněny bezpečnostní problémy:
- Byla opravena nesprávná manipulace s požadavky na přiřazení relace při blokování SSH Agent, což vedlo k situaci, kdy místo zamítnutí přístupu SSH Agent umožňoval vzdáleně provádět operace, které měly být dostupné pouze lokálně, například přidávání PKCS#11 tokenů a používání klíčů, které byly v nastavení přiřazeny konkrétním serverům.
- V ssh klientovi bylo odstraněno potenciální přístupování k paměti po jejím uvolnění (use-after-free), které se projevovalo při multiplexování SSH připojení přes jeden soket, pokud bylo přidáno nové přesměrování portů v okamžiku, kdy klient stále čekal na serveru odpověď na otevření předchozího přesměrování.
- V sshd bylo zajištěno správné použití omezení stanovených pomocí příznaku „restrict“ v souboru authorized_keys pro přesměrovávané tunely.
Zdroj: opennet.ru
