Efter seks måneders udvikling er OpenSSH 9.1, en åbent implementering af klient- og serverapplikationer til SSH 2.0 og SFTP protokoller, blevet offentliggjort. Udgivelsen karakteriseres overvejende som en fejlrettelse, som også har løst flere potentielle sårbarheder forårsaget af hukommelsesproblemer:
- Et enkelt-byte overflow i koden til behandling af SSH-banneret i ssh-keyscan værktøjet.
- Dobbelt opkald af funktionen free() i tilfælde af fejl ved beregning af hashes for filer i koden til oprettelse og kontrol af digitale signaturer i ssh-keygen værktøjet.
- Dobbelt opkald af funktionen free() ved fejlhåndtering i ssh-keysign værktøjet.
Vigtige ændringer:
- Tilføjet direktivet RequiredRSASize i ssh og sshd, som tillader definering af den mindste tilladte størrelse for RSA-nøgler. I sshd vil mindre nøgler blive ignoreret, mens det i ssh medfører, at forbindelsen afsluttes.
- Den bærbare version af OpenSSH er blevet opdateret til at bruge SSH-nøgler til at attester digitale signaturer for commits og tags i Git.
- SetEnv direktiverne i konfigurationsfilerne ssh_config og sshd_config anvender nu værdien fra første nævnt miljøvariabel, hvis den er defineret flere gange i konfigurationen (tidligere blev den sidste nævnt anvendt).
- Når ssh-keygen værktøjet kaldes med flaget “-A” (generering af alle understøttede standardtyper af værtsnøgler) er generering af DSA-nøgler, som ikke har været i brug som standard i flere år, blevet deaktiveret.
- I sftp-server og sftp er udvidelsen “users-groups-by-id@openssh.com” implementeret, som giver klienten mulighed for at anmode om navne på brugere og grupper, der svarer til en angivet sæt af digitale identifikatorer (uid og gid). Denne udvidelse er i sftp blevet brugt til at vise navne ved udskrivning af indholdet af mappen.
- I sftp-server er udvidelsen “home-directory” implementeret for at downloade stier ~\/ og ~user\/, som er en alternativ løsning til den tidligere foreslåede udvidelse “expand-path@openssh.com” (udvidelsen “home-directory” foreslås til standardisering og understøttes allerede af nogle klienter).
- I ssh-keygen og sshd er muligheden for at angive tid i UTC tidszone blevet tilføjet ved bestemmelse af gyldighedsintervaller for certifikater og nøgler, ud over systemtiden.
- I sftp er det blevet tilladt at angive yderligere argumenter i indstillingen “-D” (f.eks. “\/usr\/libexec\/sftp-server -el debug3”).
- I ssh-keygen er brugen af flaget «-U» (brug af ssh-agent) tilladt sammen med operationerne «-Y sign» for at angive, at de private nøgler er placeret i ssh-agent.
Kilde: opennet.ru
