{"id":183658,"date":"2026-10-06T22:53:58","date_gmt":"2026-10-06T20:53:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-openssh-10-6-s-ustraneniem-uyazvimostej"},"modified":"2026-10-06T22:54:02","modified_gmt":"2026-10-06T20:54:02","slug":"openssh-10-6-released-with-vulnerability-fixes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/openssh-10-6-released-with-vulnerability-fixes","title":{"rendered":"Udgivelsen af OpenSSH 10.6 med sikkerhedsrettelser.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Udgaven af OpenSSH 10.6, en open source implementering af klient- og serverprogrammer til arbejde med SSH 2.0 og SFTP-protokoller, er offentliggjort. Sikkerhedsproblemer, som for det meste blev identificeret ved kodanalyse ved hj\u00e6lp af AI-v\u00e6rkt\u00f8jer (CVE-identifikatorer er ikke tildelt), er blevet l\u00f8st: <\/p>\n
\n
En s\u00e5rbarhed i sftp, der tillader at skrive en fil uden for det \u00f8nskede bibliotek, n\u00e5r der tilg\u00e5s en server kontrol af en ondsindet akt\u00f8r.\n
To s\u00e5rbarheder i implementeringen af GSSAPI i sshd, for\u00e5rsaget af bevarelse af tilstanden mellem forskellige autentificeringsfors\u00f8g. GSSAPI-legitimationsoplysninger kunne blive bevaret efter et mislykket fors\u00f8g og anvendt ved efterf\u00f8lgende successfulde autentificeringsfors\u00f8g. Problemerne opst\u00e5r, n\u00e5r GSSAPIAuthentication-parameteren er aktiveret.\n
Supporten for LZ77-komprimering er blevet deaktiveret i sshd og ssh p\u00e5 grund af muligheden for angreb via sidekanaler, der muligg\u00f8r genopretning af indhold fra en anden session, n\u00e5r der oprettes forbindelse via et multiplexet link, der deles med offeret, idet kontrollerede input fra en angriber p\u00e5virker den samlede l\u00e6ngde af de krypterede beskeder (LZ77 erstatter gentagne strenge med henvisninger i et f\u00e6lles buffer for alle kanaler).\n
I ssh-evnen er brugen af symbolerne '$' og '\\' i brugernavne, der indtastes i kommandolinjen, forbudt, da de kan bruges til at udf\u00f8re kode ved indskud af navne i direktiverne ProxyCommand og Match exec, der er angivet i indstillingerne.\n
I ssh-keygen er h\u00e5ndteringen af sommertid blevet rettet, hvilket f\u00f8rte til en forskydning af certifikatets gyldighedsperiode med 1 time.\n
For at forhindre oprettelse af zip-bomber er der i sshd og ssh tilf\u00f8jet en kontrol, der overv\u00e5ger overskridelse af den maksimale pakke st\u00f8rrelse ved udpakning af data.\n
I sshd er der l\u00f8st et problem, der tillod omg\u00e5else af begr\u00e6nsningerne for n\u00f8gleordet \u00abrestrict\u00bb i authorized_keys-filen, som ikke blev anvendt p\u00e5 tunneler (PermitTunnel).\n
I sshd er en fejlagtig fortolkning af indstillingen \u00abnone\u00bb inden for Match-blokke blevet rettet, da den i visse direktiver, s\u00e5som AuthorizedPrincipalsFile, blev fortolket som et filnavn i stedet for som et signal om at deaktivere direktivet.\n
I sshd er der l\u00f8st et problem med manglende nulstilling af root-rettigheder p\u00e5 platforme, der ikke underst\u00f8tter overf\u00f8rsel af filbeskrivelser og kr\u00e6ver root-rettigheder for at tildele PTY. Problemet optr\u00e6der p\u00e5 QNX 6, SCO OpenServer 5 og ved compilation med indstillingen \u00ab--disable-fd-passing\u00bb. <\/ul>\n
Ikke-sikkerhedsrelaterede \u00e6ndringer: <\/p>\n
\n
Underst\u00f8ttelse af den hybride kryptografiske algoritme ssh-mldsa44-ed25519, som er modstandsdygtig over for angreb fra kvantecomputere, er aktiveret.\n
Indstillingen WarnWeakCrypto er implementeret og aktiveret som standard i sshd_config for at styre advarselsoutput ved etablering af forbindelser med n\u00f8gleforhandlingsalgoritmer, der ikke er modstandsdygtige over for kvanteangreb.\n
Der er implementeret kontrol af credProtect-politikken i ssh-keygen og ssh-add for at opfylde kravene til verifikation (PIN eller biometri) f\u00f8r adgang til residente n\u00f8gler p\u00e5 FIDO-token.\n
I ssh-add er der tilf\u00f8jet en flag \u00ab-P\u00bb til at springe den valgfri indtastning af PIN-kode over for FIDO- og PKCS#11-tokens.\n
I ssh-kommandoen ~I er der implementeret output af versionoplysninger p\u00e5 b\u00e5de lokale og fjerntliggende systemer.\n
I sftp er der tilf\u00f8jet en flag \u2018-p\u2019 til mkdir\/lmkdir-kommandoerne for at oprette kataloger efter behov.\n
I ssh-keygen er der tilf\u00f8jet en \u00abhexdump\u00bb-tilstand til eksport af n\u00f8gler i form af hex dumps (f.eks. til inds\u00e6ttelse i dokumentation).\n
I ssh og sshd-direktivet ChannelTimeout er det nu muligt at angive timeouts med n\u00f8jagtighed ned til br\u00f8kdele af et sekund.\n
Der er tilf\u00f8jet en AgentSocketPath mulighed i sshd for at angive stien til $SSH_AUTH_SOCK ved agent forwarding (f.eks. user:.ssh\/agent for underkataloger i $HOME og shared:\/tmp for delte kataloger).\n
I ssh-agent er der tilf\u00f8jet en flag \u00ab-A\u00bb til at angive mapper med agent sockets, hvor angivelse af pr\u00e6fikserne \u00abuser:\u00bb og \u00abshared:\u00bb er tilladt, ligesom i indstillingen AgentSocketPath.\n
I sshd er kontrol af offentlige n\u00f8gler adskilt fra autentificeringsfors\u00f8g. Der er tilf\u00f8jet en indstilling \u00abPubkeyOptions max-pk-ok:nnnn\u00bb til at konfigurere antallet af fors\u00f8g til kontrol af offentlige n\u00f8gler (standard 6), efter hvilket forbindelsen vil blive brudt baseret p\u00e5 MaxAuthTries-limiten.\n
I ssh og sshd er der tilf\u00f8jet st\u00f8tte til v\u00e6rdien \u00aball\u00bb i indstillingen TCPKeepAlive, som inkluderer sending af keepalive-pakker ikke kun for den prim\u00e6re forbindelse, men ogs\u00e5 for forbindelser, der videresendes gennem den. <\/ul>\n