OpenSSH 8.6 er blevet udgivet, en open source-implementering af klient og server til at arbejde med protokollerne SSH 2.0 og SFTP. I den nye version er der rettet en sårbarhed i implementeringen af direktivet LogVerbose, som blev introduceret i den sidste udgave og gjorde det muligt at hæve niveauet af den debug-information, der logges, herunder implementeringen af filtrering efter skabeloner, funktioner og filer relateret til kode, der kører med nedsatte privilegier i processen sshd, isoleret i et sandbox-miljø.
En angriber, der har opnået kontrol over en ikke-privilegeret proces ved hjælp af en endnu ukendt sårbarhed, kan udnytte det relaterede LogVerbose-problem til at omgå sandbox-isoleringen og udføre angreb på processen, der kører med forhøjede privilegier. Anvendelsen af sårbarheden i LogVerbose anses for at være usandsynlig i praksis, da LogVerbose-indstillingen er deaktiveret som standard og normalt kun bruges under fejlsøgning. Desuden kræves det at finde en ny sårbarhed i den ikke-privilegerede proces for at udføre angrebet.
Ændringer i OpenSSH 8.6, der ikke er relateret til sårbarheden:
- I sftp og sftp-server er der implementeret en ny protokol-udvidelse "limits@openssh.com", der giver SFTP-klienten mulighed for at få oplysninger om de indstillede serveren grænser, inklusive begrænsninger for maksimal pakke- og læse-/skriveoperationer. I sftp bruges den nye udvidelse til at vælge den optimale blokstørrelse ved dataoverførsel.
- I sshd_config er der tilføjet en indstilling ModuliFile for sshd, som gør det muligt at angive stien til "moduli"-filen, der indeholder grupper til DH-GEX.
- Der er tilføjet en miljøvariabel TEST_SSH_ELAPSED_TIMES til enhedstests for at aktivere udskrifter af den tid, der er gået siden starten af hver test.
- Grænsefladen til anmodning af kodeord for GNOME er opdelt i to varianter, en til GNOME2 og en anden til GNOME3 (contrib/gnome-ssk-askpass3.c). Varianten til GNOME3 bruger for at forbedre kompatibiliteten med Wayland kaldet gdk_seat_grab() til at styre indfangningen af tastaturet og musen.
- Der er tilføjet en blød afvisning (soft-disallow) af systemopkaldet fstatat64 til det anvendte Linux-sandbox baseret på seccomp-bpf.
Kilde: opennet.ru
