{"id":107307,"date":"2023-03-16T12:48:10","date_gmt":"2023-03-16T10:48:10","guid":{"rendered":"https:\/\/prohoster.info\/?p=107307"},"modified":"2023-03-17T13:35:25","modified_gmt":"2023-03-17T11:35:25","slug":"obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","title":{"rendered":"OpenSSH 9.3 mit Sicherheitskorrekturen ver\u00f6ffentlicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung von OpenSSH 9.3 wurde bekannt gegeben. Dies ist eine offene Implementierung eines Clients und Servers f\u00fcr die Protokolle SSH 2.0 und SFTP. In der neuen Version wurden Sicherheitsprobleme behoben: <\/p>\n
\n
In der Dienstprogramm ssh-add wurde ein logischer Fehler entdeckt, durch den beim Hinzuf\u00fcgen von Schl\u00fcsseln f\u00fcr Smartcards zu ssh-agent die Einschr\u00e4nkungen, die mit der Option \u201essh-add -h\u201c festgelegt werden, nicht an den Agenten \u00fcbergeben wurden. Infolgedessen wurde ein Schl\u00fcssel zum Agenten hinzugef\u00fcgt, f\u00fcr den die Einschr\u00e4nkungen, die Verbindungen nur von bestimmten Hosts erlauben, nicht angewendet wurden.\n
Im Dienstprogramm ssh wurde eine Schwachstelle entdeckt, die dazu f\u00fchren kann, dass Daten aus dem Stack-Bereich au\u00dferhalb des zugewiesenen Puffers gelesen werden, wenn speziell gestaltete DNS-Antworten verarbeitet werden und die Einstellung VerifyHostKeyDNS in der Konfigurationsdatei aktiviert ist. Das Problem tritt in der integrierten Implementierung der Funktion getrrsetbyname() auf, die in tragbaren Versionen von OpenSSH verwendet wird, die ohne externe Bibliothek ldns (--with-ldns) erstellt werden, sowie auf Systemen mit Standardbibliotheken, die den Aufruf von getrrsetbyname() nicht unterst\u00fctzen. Die M\u00f6glichkeit, die Schwachstelle auszunutzen, wird als geringf\u00fcgig wahrscheinlich eingesch\u00e4tzt, au\u00dfer um einen Denial-of-Service-Angriff auf den ssh-Client zu initiieren. <\/ul>\n
Zus\u00e4tzlich ist eine Sicherheitsanf\u00e4lligkeit in der OpenBSD-Bibliothek libskey zu erw\u00e4hnen, die in OpenSSH verwendet wird. Das Problem besteht seit 1997 und kann bei der Verarbeitung speziell gestalteter Hostnamen zu einem Buffer Overflow im Stack f\u00fchren. Es wird darauf hingewiesen, dass, obwohl die Ausnutzung der Sicherheitsanf\u00e4lligkeit \u00fcber OpenSSH remote ausgel\u00f6st werden kann, sie in der Praxis nutzlos ist, da der Name des angegriffenen Hosts (\/etc\/hostname) mehr als 126 Zeichen enthalten muss und der Buffer nur mit Null-Zeichen ('\\0') \u00fcberlaufen kann. <\/p>\n
Unter den sicherheitsunabh\u00e4ngigen \u00c4nderungen: <\/p>\n
\n
In ssh-keygen und ssh-keyscan wurde die Unterst\u00fctzung f\u00fcr den Parameter '-Ohashalg=sha1|sha256' hinzugef\u00fcgt, um den Algorithmus f\u00fcr die Darstellung von SSHFP-Hashes auszuw\u00e4hlen.\n
In sshd wurde die Option '-G' hinzugef\u00fcgt, um die aktive Konfiguration zu analysieren und anzuzeigen, ohne private Schl\u00fcssel zu laden und ohne zus\u00e4tzliche Pr\u00fcfungen durchzuf\u00fchren, was es erm\u00f6glicht, die Konfiguration vor der Schl\u00fcsselgenerierung zu \u00fcberpr\u00fcfen und Pr\u00fcfungen von nicht privilegierten Benutzern auszuf\u00fchren.\n
In sshd wurde die Isolierung auf der Linux-Plattform verst\u00e4rkt, indem die Filtermechanismen seccomp und seccomp-bpf verwendet werden. Flags f\u00fcr die Systemaufrufe mmap, madvise und futex wurden zur Liste der erlaubten Systemaufrufe hinzugef\u00fcgt. <\/ul>\n