{"id":144216,"date":"2025-10-06T17:11:54","date_gmt":"2025-10-06T15:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-10-1"},"modified":"2025-10-06T17:11:54","modified_gmt":"2025-10-06T15:11:54","slug":"reliz-openssh-10-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/reliz-openssh-10-1","title":{"rendered":"Udgivelsen af OpenSSH 10.1.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Udgivet: OpenSSH 10.1, en open source-implementering af klient og server til brug med SSH 2.0 og SFTP-protokoller. <\/p>\n
Vigtige \u00e6ndringer: <\/p>\n
\n
En sikkerhedsproblem er blevet l\u00f8st, som g\u00f8r det muligt for en angriber at inds\u00e6tte shell-kommandoer ved at manipulere med specialtegn i brugernavnet eller URI'en, hvilket kunne udf\u00f8res ved at k\u00f8re en kommando angivet gennem indstillingen «ProxyCommand» og som indeholder substitutionen «%u». Problemet vedr\u00f8rer kun systemer, der tillader substitution af brugernavne eller URIs fra up\u00e5lidelige kilder ved opstart af ssh.\n
For at blokere s\u00e5danne angreb er brugen af kontroltegn i brugernavne, der angives ved opstart i kommandolinjen eller inds\u00e6ttes i indstillingerne gennem %-sekvenser, forbudt. Anvendelse af nul-tegn («\0») i URI ssh:\/\/ er ogs\u00e5 forbudt. Undtagelse er gjort for navne angivet i konfigurationsfilen (det antages, at disse data er p\u00e5lidelige). <\/p>\n
Under v\u00e6rkt\u00f8jerne ssh og ssh-agent er der tilf\u00f8jet underst\u00f8ttelse af ed25519-n\u00f8gler, der opbevares i PKCS#11 tokens.\n
Indstillingen RefuseConnection er blevet tilf\u00f8jet til konfigurationsfilen ssh_config, hvorved behandlingen af den aktive sektion medf\u00f8rer, at processen afsluttes med en fejlmeddelelse uden fors\u00f8g p\u00e5 at etablere forbindelse. Match host foo RefuseConnection «V\u00e6rt foo er ikke l\u00e6ngere i brug, forbind til v\u00e6rt bar»\n
I ssh og sshd er der tilf\u00f8jet SIGINFO signalh\u00e5ndterere for at logge oplysninger om sessionen og den aktive kanal.\n
I sshd, hvis autentificeringen af brugeren via certifikat bliver afvist, logges ikke kun \u00e5rsagen til blokeringen, men ogs\u00e5 omfattende oplysninger til identifikation af det problematiske certifikat.\n
I sshd er der tilf\u00f8jet kontrol af X11 display-nummeret i forhold til det forskydning angivet i direktivet X11DisplayOffset.\n
Der er tilf\u00f8jet funktioner til at m\u00e5le ydelse i enhedstestene, aktiveret ved at k\u00f8re «make UNITTEST_BENCHMARK=yes» i OpenBSD eller «make unit-bench» i andre systemer. <\/ul>\n
\u00c6ndringer, der potentielt bryder bagudkompatibiliteten: <\/p>\n
\n
I ssh er der tilf\u00f8jet en advarsel ved brug af en n\u00f8gleaftalealgoritme, der ikke er modstandsdygtig over for kvantecomputerangreb ved oprettelse af forbindelse. Advarslen er tilf\u00f8jet p\u00e5 grund af risikoen for fremtidige angreb, der udnytter tidligere gemte trafikdump. For at deaktivere advarslen er der tilf\u00f8jet en indstilling WarnWeakCrypto i ssh_config. Match host unsafe.example.com WarnWeakCrypto no\n
I ssh og sshd er behandlingen af DSCP (IPQoS) kvalitetsparametre betydeligt \u00e6ndret. For interaktiv trafik s\u00e6ttes standardklassen nu til EF (Expedited Forwarding) for prioriteret behandling i tr\u00e5dl\u00f8se netv\u00e6rk. For ikke-interaktiv trafik s\u00e6ttes klassen til hvad der bruges som standard i operativsystemet. Trafikklassen kan \u00e6ndres ved hj\u00e6lp af IPQoS-indstillingen i ssh_config og sshd_config. ToS (type-of-service) parametre for IPv4 i IPQoS direktivet er blevet for\u00e6ldede (DSCP har erstattet ToS).\n
I ssh-add, n\u00e5r der tilf\u00f8jes et certifikat til ssh-agenten, implementeres indstillingen for certifikatets levetid p\u00e5 5 minutter mere end certifikatets gyldighedsperiode (til automatisk fjernelse af udl\u00f8bne certifikater). For at deaktivere denne adf\u00e6rd er der tilf\u00f8jet en mulighed «-N» i ssh-add.\n
Underst\u00f8ttelsen af XMSS-n\u00f8gler er fjernet, da den blev m\u00e6rket som eksperimentel og aldrig blev aktiveret som standard.\n
Unix-sokler, der oprettes af ssh-agent og sshd, er flyttet fra kataloget \/tmp til ~\/.ssh\/agent, hvilket sikrer, at disse sokler ikke kan tilg\u00e5s fra isolerede processer, som har begr\u00e6nset adgang til filsystemet, men har adgang til \/tmp. <\/ul>\n