Efter et halvt års udvikling er udgaven OpenSSH 10.3 blevet offentliggjort, som er en åben implementering af klienten og server til brug med SSH 2.0 og SFTP-protokoller. De vigtigste ændringer:
- En sårbarhed er blevet rettet, som tillod en angriber med kontrol over brugernavnet, der blev sendt ved opstart af ssh-værktøjet, potentielt at udføre vilkårlige shell-kommandoer. Sårbarheden optræder i systemer, der bruger substitution " %u " i visse direktiver i konfigurationsfilen, såsom "Match exec". Problemet skyldes kontrol af specialtegn i brugernavnet efter afslutningen af %-substitutioner i ssh_config konfigurationsfilen.
- Et sikkerhedsproblem er blevet rettet i sshd, som blev forårsaget af forkert matchning af authorized_keys principals= "" med listen af navne (principals) i certifikatet i situationer, hvor der blev angivet et tegn "," i navne. For at udnytte sårbarheden skal flere navne angives i authorized_keys principals="" og certifikatet fra certificeringsmyndigheden skal have flere navne, adskilt af komma (hvilket normalt ikke tillades). Adfærden i forbindelse med certifikater med tomt navn er blevet ændret — tidligere faldt et tomt navn ind under alle authorized_keys principals="", men det gør det nu ikke.
- I scp er der blevet rettet et problem, hvor filoverførsler med root-rettigheder anvendende parameteren "-O" og uden parameteren "-p" ikke rydde setuid/setgid-flagene.
- I sshd er der blevet rettet et problem med behandlingen af ECDSA-nøgler i direktiverne PubkeyAcceptedAlgorithms og HostbasedAcceptedAlgorithms, som resulterede i, at alle ECDSA-baserede algoritmer blev accepteret, når enhver ECDSA-algoritme (f.eks. "ecdsa-sha2-nistp384") blev angivet, selvom de ikke var direkte opført i den tilladte liste.
- I ssh og sshd er der tilføjet support for identifikatorer (codepoint), der er defineret af IANA i specifikationen draft-ietf-sshm-ssh-agent, ved interaktion med SSH-agenter. Support for tidligere brugte identifikatorer af typen "@openssh.com" er bevaret.
- I ssh-agent er der implementeret en udvidelse af "query", der er defineret i draft-ietf-sshm-ssh-agent specifikationen, som muliggør identifikation af de funktioner, som agenten understøtter. For at anmode om en liste over understøttede protokolleudvidelser via anmodningen "query" er der tilføjet en mulighed "-Q" til ssh-add.
- I sshd_config er det blevet tilladt at angive flere filer i direktivet RevokedKeys, og i ssh_config — i direktivet RevokedHostKeys.
- I ssh er der tilføjet escape-kommandoen «~I» og indstillingen «-O conninfo» for at vise oplysninger om den aktuelle forbindelse, samt indstillingen «-O channels» for at vise oplysninger om åbne kanaler.
- I sshd direktivet PerSourcePenalties er der implementeret indstillingen ‘invaliduser’ for at tilføje en forsinkelse i tilfælde af loginforsøg med en ikke-eksisterende bruger (standard er 5 sekunder). Det er nu muligt at angive ikke-hele værdier for forsinkelsen.
- I sshd er der tilføjet indstillingen GSSAPIDelegateCredentials for at styre modtagelsen af delegerede legitimationsoplysninger givet af klienten.
- I ssh-keygen er der tilføjet støtte til at skrive ED25519-nøgler i PKCS8-format.
- Der er tilføjet støtte til digitale signaturer ed25519, implementeret gennem libcrypto.
Kilde: opennet.ru
