Die Veröffentlichung von OpenSSH 10.5, einer Open-Source-Implementierung von Client und Server fĂŒr den Betrieb ĂŒber die Protokolle SSH 2.0 und SFTP, wurde bekannt gegeben. Wesentliche Ănderungen:
- Die portable Version von OpenSSH erfordert jetzt die UnterstĂŒtzung der elliptischen Kryptographie (ECC - Elliptic Curve Cryptography) in der Bibliothek libcrypto, einschlieĂlich der UnterstĂŒtzung der elliptischen Kurve NISTP521. In den Implementierungen von libcrypto aus den Projekten LibreSSL, OpenSSL, BoringSSL und AWS LC ist diese UnterstĂŒtzung standardmĂ€Ăig aktiviert.
- Im Dienstprogramm ssh-keygen wurde bei der ZurĂŒcksetzung des Passworts fĂŒr private SchlĂŒssel von FIDO-Token das Setzen der Flags touch-required und verify-required implementiert, die eine BestĂ€tigung des Benutzers erfordern.
- Im Dienstprogramm ssh wurde die Reihenfolge der Anwendung von Zertifikaten bei der Authentifizierung mit öffentlichen SchlĂŒsseln geĂ€ndert â nun werden zunĂ€chst FIDO-SchlĂŒssel verwendet, die keine Benutzeraktionen erfordern, gefolgt von SchlĂŒsseln, die eine PIN-Code- oder biometrische BestĂ€tigung anfordern.
- Es wurde der Befehl âssh -Z userâ hinzugefĂŒgt, der die SchlĂŒssel in der Reihenfolge ihrer Verwendung fĂŒr die Authentifizierung mit öffentlichen SchlĂŒsseln anzeigt.
- Sicherheitsprobleme wurden behoben:
- Eine fehlerhafte Verarbeitung von Sitzungsbindungsanforderungen beim Blockieren des SSH-Agenten wurde behoben, die dazu fĂŒhrte, dass der SSH-Agent, anstatt den Zugriff zu verweigern, entfernte Operationen zulieĂ, die nur lokal verfĂŒgbar sein sollten, wie das HinzufĂŒgen von PKCS#11-Token und die Verwendung von SchlĂŒsseln, die in den Einstellungen bestimmten Servern zugewiesen sind.
- Im SSH-Client wurde ein potenzieller Zugriff auf den Speicher nach seiner Freigabe (use-after-free) behoben, der beim Multiplexen von SSH-Verbindungen ĂŒber einen Socket auftrat, wenn ein neuer Port-Forwarding hinzugefĂŒgt wurde, wĂ€hrend der Client weiterhin auf Server die Antwort auf die Eröffnung des vorherigen Port-Forwarding wartete.
- Im sshd wurde die korrekte Anwendung der EinschrĂ€nkungen, die ĂŒber das Flag ârestrictâ in der Datei authorized_keys festgelegt wurden, fĂŒr umgeleitete Tunnel sichergestellt.
Quelle: opennet.ru
