Bylo zve\u0159ejn\u011bno vyd\u00e1n\u00ed OpenSSH 10.1, otev\u0159en\u00e9 implementace klienta a serveru pro pr\u00e1ci s protokoly SSH 2.0 a SFTP. <\/p>\n
Hlavn\u00ed zm\u011bny: <\/p>\n
\n
Byla opravena bezpe\u010dnostn\u00ed chyba, kter\u00e1 umo\u017e\u0148ovala \u00fato\u010dn\u00edkovi vlo\u017eit shell p\u0159\u00edkazy prost\u0159ednictv\u00edm manipulace se speci\u00e1ln\u00edmi znaky v u\u017eivatelsk\u00e9m jm\u00e9nu nebo URI, kter\u00e9 mohly b\u00fdt provedeny p\u0159i spu\u0161t\u011bn\u00ed p\u0159\u00edkazu uveden\u00e9ho v nastaven\u00ed «ProxyCommand» a obsahuj\u00edc\u00edho substituci «%u». Probl\u00e9m se t\u00fdk\u00e1 pouze syst\u00e9m\u016f, kter\u00e9 p\u0159i spu\u0161t\u011bn\u00ed ssh umo\u017e\u0148uj\u00ed substituci u\u017eivatelsk\u00fdch jmen nebo URI z\u00edskan\u00fdch z ned\u016fv\u011bryhodn\u00fdch zdroj\u016f.\n
Pro zablokov\u00e1n\u00ed takov\u00fdchto \u00fatok\u016f je zak\u00e1z\u00e1no pou\u017e\u00edvat \u0159\u00eddic\u00ed znaky v u\u017eivatelsk\u00fdch jm\u00e9nech uv\u00e1d\u011bn\u00fdch p\u0159i spu\u0161t\u011bn\u00ed v p\u0159\u00edkazov\u00e9m \u0159\u00e1dku nebo substituovan\u00fdch v nastaven\u00edch prost\u0159ednictv\u00edm %-sekvenc\u00ed. Tak\u00e9 je zak\u00e1z\u00e1no pou\u017e\u00edvat nulov\u00fd znak («\0») v ssh:\/\/ URI. V\u00fdjimkou jsou pouze jm\u00e9na uveden\u00e1 v konfigura\u010dn\u00edm souboru (p\u0159edpokl\u00e1d\u00e1 se, \u017ee tato data jsou d\u016fv\u011bryhodn\u00e1). <\/p>\n
Do utilit ssh a ssh-agent byla p\u0159id\u00e1na podpora kl\u00ed\u010d\u016f ed25519, kter\u00e9 se ukl\u00e1daj\u00ed v tokenech PKCS#11.\n
Byla p\u0159id\u00e1na nov\u00e1 konfigurace RefuseConnection do konfigura\u010dn\u00edho souboru ssh_config, kter\u00e1 p\u0159i zpracov\u00e1n\u00ed v aktivn\u00ed sekci ukon\u010d\u00ed proces s v\u00fdstupem chybov\u00e9 zpr\u00e1vy bez pokusu o nav\u00e1z\u00e1n\u00ed spojen\u00ed. Match host foo RefuseConnection «host foo ji\u017e nen\u00ed pou\u017e\u00edv\u00e1n, p\u0159ipojte se k hostu bar»\n
Do ssh a sshd byly p\u0159id\u00e1ny obslu\u017en\u00e9 rutiny sign\u00e1lu SIGINFO pro z\u00e1pis do logu informac\u00ed o relaci a aktivn\u00edm kan\u00e1lu.\n
V sshd, pokud je odm\u00edtnuta autentizace u\u017eivatele na z\u00e1klad\u011b certifik\u00e1tu, se v logu zobraz\u00ed nejen d\u016fvod zablokov\u00e1n\u00ed p\u0159\u00edstupu, ale tak\u00e9 podrobn\u00e9 informace pro identifikaci problematick\u00e9ho certifik\u00e1tu.\n
Do sshd byla p\u0159id\u00e1na kontrola \u010d\u00edsla displeje X11 ve vztahu k offsetu uveden\u00e9mu v direktiv\u011b X11DisplayOffset.\n
Byly p\u0159id\u00e1ny schopnosti m\u011b\u0159en\u00ed v\u00fdkonu do jednotkov\u00fdch test\u016f, kter\u00e9 se aktivuj\u00ed p\u0159i spu\u0161t\u011bn\u00ed «make UNITTEST_BENCHMARK=yes» v OpenBSD nebo «make unit-bench» v ostatn\u00edch syst\u00e9mech. <\/ul>\n
V ssh byla p\u0159id\u00e1na v\u00fdstraha p\u0159i pou\u017eit\u00e9m algoritmu dohodov\u00e1n\u00ed kl\u00ed\u010d\u016f, kter\u00fd nen\u00ed odoln\u00fd v\u016f\u010di \u00fatok\u016fm kvantov\u00fdch po\u010d\u00edta\u010d\u016f. V\u00fdstraha byla p\u0159id\u00e1na kv\u016fli riziku budouc\u00edch \u00fatok\u016f pomoc\u00ed d\u0159\u00edve ulo\u017een\u00fdch v\u00fdpis\u016f datov\u00e9ho provozu. Pro vypnut\u00ed t\u00e9to v\u00fdstrahy byla do ssh_config p\u0159id\u00e1na mo\u017enost WarnWeakCrypto. Match host unsafe.example.com WarnWeakCrypto no\n
V ssh a sshd do\u0161lo k v\u00fdrazn\u00e9 zm\u011bn\u011b zpracov\u00e1n\u00ed parametr\u016f kvality slu\u017eeb DSCP (IPQoS). Pro interaktivn\u00ed provoz je nyn\u00ed v\u00fdchoz\u00ed t\u0159\u00edda EF (Expedited Forwarding) pro prioritn\u011bj\u0161\u00ed zpracov\u00e1n\u00ed v bezdr\u00e1tov\u00fdch s\u00edt\u00edch. Pro neinteraktivn\u00ed provoz je nastavena t\u0159\u00edda, kterou obvykle pou\u017e\u00edv\u00e1 opera\u010dn\u00ed syst\u00e9m. T\u0159\u00eddu provozu lze zm\u011bnit pomoc\u00ed nastaven\u00ed IPQoS v ssh_config a sshd_config. Parametry ToS (type-of-service) pro IPv4 v direktiv\u011b IPQoS jsou pova\u017eov\u00e1ny za zastaral\u00e9 (na m\u00edst\u011b ToS nyn\u00ed je DSCP).\n
V ssh-add byla implementov\u00e1na funkce nastaven\u00ed doby platnosti certifik\u00e1tu na 5 minut v\u00edce, ne\u017e je doba platnosti certifik\u00e1tu (pro automatick\u00e9 odstran\u011bn\u00ed pro\u0161l\u00e9ho certifik\u00e1tu). Pro deaktivaci tohoto chov\u00e1n\u00ed byla do ssh-add p\u0159id\u00e1na volba «-N».\n
Byla odstran\u011bna podpora XMSS kl\u00ed\u010d\u016f, kter\u00e9 byly ozna\u010deny jako experiment\u00e1ln\u00ed a nikdy nebyly v\u00fdchoz\u00ed.\n
Unixov\u00e9 sokety, kter\u00e9 vytv\u00e1\u0159ej\u00ed procesy ssh-agent a sshd, byly p\u0159esunuty z adres\u00e1\u0159e \/tmp do ~\/.ssh\/agent, co\u017e zaru\u010duje, \u017ee k t\u011bmto soket\u016fm se nem\u016f\u017ee dostat izolovan\u00e9 procesy, pro kter\u00e9 je omezen\u00fd p\u0159\u00edstup k souborov\u00e9mu syst\u00e9mu, ale maj\u00ed p\u0159\u00edstup do \/tmp. <\/ul>\n