Nach einem halben Jahr Entwicklung wurde OpenSSH 10.3 veröffentlicht, eine offene Implementierung des Clients für сервера die Protokolle SSH 2.0 und SFTP. Die wichtigsten Änderungen sind:
- Eine Sicherheitslücke wurde beseitigt, die es einem Angreifer, der den Benutzernamen kontrolliert, der beim Starten des SSH-Tools übergeben wird, potenziell ermöglichen könnte, beliebige Shell-Befehle auszuführen. Die Schwachstelle tritt in Systemen auf, die die Ersetzung „%u“ in bestimmten Direktiven der Konfigurationsdatei, wie „Match exec“, verwenden. Das Problem wurde durch die Überprüfung von Sonderzeichen im Benutzernamen nach der Ausführung der %-Ersetzungen in der Datei ssh_config verursacht.
- Ein Sicherheitsproblem in sshd wurde behoben, das durch eine fehlerhafte Zuordnung der Option authorized_keys principals=»» zu der Namensliste (principal) im Zertifikat verursacht wurde, wenn in den Namen das Zeichen «,» angegeben ist. Um die Schwachstelle auszunutzen, mussten in der Option authorized_keys principals=»» mehrere Namen angegeben werden, und die Zertifizierungsstelle musste ein Zertifikat mit mehreren durch Kommas getrennten Namen ausstellen (was normalerweise nicht zulässig ist). Das Verhalten in Bezug auf Zertifikate mit leerem Namen wurde geändert — zuvor fiel ein leerer Name unter alle Optionen in authorized_keys principals=»», jetzt tut er dies nicht mehr.
- In scp wurde ein Problem behoben, das dazu führte, dass nach dem Hochladen einer Datei mit root-Rechten unter Angabe der Option «-O» und ohne die Option «-p» die setuid/setgid-Flags nicht zurückgesetzt wurden.
- In sshd wurde ein Problem mit der Verarbeitung von ECDSA-Schlüsseln in den Direktiven PubkeyAcceptedAlgorithms und HostbasedAcceptedAlgorithms behoben, bei dem im Falle der Angabe eines beliebigen ECDSA-Algorithmus (zum Beispiel «ecdsa-sha2-nistp384») auch alle anderen ECDSA-basierten Algorithmen akzeptiert wurden, selbst wenn sie nicht explizit in der Liste der zulässigen Algorithmen aufgeführt sind.
- In ssh und sshd wurde die Unterstützung für von IANA in der Spezifikation draft-ietf-sshm-ssh-agent definierte Identifikatoren (Codepoints) hinzugefügt. Die Unterstützung zuvor verwendeter Identifikatoren vom Typ „@openssh.com“ bleibt bestehen.
- Im ssh-agent wurde die Erweiterung „query“, wie sie in der Spezifikation draft-ietf-sshm-ssh-agent definiert ist, implementiert, um die vom Agenten unterstützten Funktionen zu bestimmen. Um eine Liste der unterstützten Protokollerweiterungen über die Abfrage „query“ zu erhalten, wurde der Option „-Q“ im ssh-add hinzugefügt.
- In sshd_config ist es nun möglich, mehrere Dateien in der Direktive RevokedKeys anzugeben; in ssh_config ist dies in der Direktive RevokedHostKeys möglich.
- In ssh wurde der Escape-Befehl „~I“ sowie die Option „-O conninfo“ zur Anzeige von Informationen über die aktuelle Verbindung hinzugefügt, ebenso wie die Option „-O channels“ zur Anzeige von Informationen über offene Kanäle.
- In sshd wurde in der Direktive PerSourcePenalties die Option ‚invaliduser‘ implementiert, um eine Verzögerung hinzuzufügen, falls ein Login mit einem nicht existierenden Benutzer versucht wird (standardmäßig 5 Sekunden). Es wurde die Möglichkeit hinzugefügt, nicht ganze Werte für die Verzögerung anzugeben.
- In sshd wurde die Option GSSAPIDelegateCredentials hinzugefügt, um den Empfang von vom Client bereitgestellten delegierten Anmeldeinformationen zu steuern.
- In ssh-keygen wurde die Unterstützung für die Speicherung von ED25519-Schlüsseln im PKCS8-Format hinzugefügt.
- Unterstützung für das digitale Signaturschema ed25519, implementiert über libcrypto, wurde hinzugefügt.
Quelle: opennet.ru
