Efter tre måneders udvikling er version 10.4 af OpenSSH, en open source implementering af klient- og serverprogrammer til SSH 2.0 og SFTP protokoller, blevet offentliggjort. Vigtige ændringer:
- Eksperimentel support for den kombinerede digitale signaturmetode "mldsa44-ed25519" er blevet tilføjet, som kombinerer det postkvante-algoritme ML-DSA 44 og algoritmen baseret på elliptiske kurver Ed25519. For at aktivere understøttelse skal "mldsa44-ed25519" tilføjes til direktiverne HostKeyAlgorithms og PubkeyAcceptedAlgorithms. Kommandoen "ssh-keygen -t mldsa44-ed25519" kan bruges til at generere nøgler.
- En ny implementering af mønstergenkendelsessystemet baseret på en ikke-determineret automat er blevet implementeret i ssh og sshd, hvilket undgår det eksponentielle vækstretningsproblem ved brug af masker med mange "*" tegn.
- Adfærden af Linux-versioner af sshd med aktiveret systemopkald filtrering via seccomp er blevet ændret. Tidligere førte en fejl ved aktivering af SECCOMP eller NO_NEW_PRIVS på Linux-systemer uden deres understøttelse til en logvarsling og fortsat drift uden isolation, mens det nu vil resultere i et nedbrud.
- Når der bruges "sshd -G" optionen, bliver direktiver i konfigurationsdumpen nu skrevet med både store og små bogstaver, i stedet for kun med små bogstaver (f.eks. "PubkeyAuthentication" i stedet for "pubkeyauthentication").
- Adfærden af ssh og sshd er blevet justeret i henhold til standard RFC 4253: sending af beskeder urelateret til nøgleudveksling under genudveksling af nøgler vil nu medføre afslutning af forbindelsen. Tidligere kunne angribere udføre en DoS-angreb ved uendeligt at sende tredjepartsmeddelelser under nøgleudvekslingen, hvilket blev bufferet i serveren og brugte hukommelse.
Flere sikkerhedsproblemer er blevet løst:
- I ssh-værktøjet er der eliminering af potentiel adgang til hukommelse efter frigivelse (use-after-free) ved adgang til ondsindet server. Problemet udnyttes ved ændring af værtens nøgle under genudveksling af nøgler.
- Sårbarhed i sftp, der muliggør upload af filer til en anden mappe ved at få adgang til en ondsindet server ved at bruge kommandoen i formatet "sftp host:/path .".
- Sårbarhed i scp, der muliggør kopiering af filer mellem to eksterne servere, en af dem er under angriberen kontrol, organisere optagelse af filer i en overordnet mappe, der er placeret et niveau under målmappen.
- Problemet med sshd, der opstod ved brug af den interne implementering af SFTP-serveren ('internal-sftp'), som er deaktiveret som standard, er blevet løst. Problemet relaterer sig til afskæring af lange sekvenser i kommandolinjen efter 9 argumenter, hvilket medfører, at følgende argumenter kasseres. Derfor kan indstillinger relateret til sikkerhed potentielt blive kasseret.
- En fejl i sshd er blevet rettet, hvilket betød, at direktivet 'DisableForwarding=yes' ikke deaktiverede muligheden for at oprette tunneler, der var tilladt med indstillingen 'PermitTunnel=yes' (som ikke er aktiveret som standard).
- I sshd er der blevet rettet et problem, der kunne bruges til at initiere en tjenestenægtelse før autentifikationen ved at aktivere indstillingen GSSAPIAuthentication (deaktiveret som standard). Problemet blokeres ikke af grænsen 'MaxAuthTries', men falder ind under 'PerSourcePenalties' begrænsningen.
- I sshd er der blevet rettet fejl, der betød, at der ikke altid blev tilføjet en minimumsforsinkelse mellem autentifikationsforsøg.
Kilde: opennet.ru
