{"id":107307,"date":"2023-03-16T12:48:10","date_gmt":"2023-03-16T10:48:10","guid":{"rendered":"https:\/\/prohoster.info\/?p=107307"},"modified":"2023-03-17T13:35:25","modified_gmt":"2023-03-17T11:35:25","slug":"obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","title":{"rendered":"OpenSSH 9.3-Update zur Behebung von Sicherheitsproblemen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung von OpenSSH 9.3, einer Open-Source-Implementierung des SSH 2.0- und SFTP-Protokolls f\u00fcr Client und Server, ist erfolgt. In dieser neuen Version wurden Sicherheitsprobleme behoben: <\/p>\n
\n
In dem Tool ssh-add wurde ein logischer Fehler festgestellt, aufgrund dessen beim Hinzuf\u00fcgen von Schl\u00fcsseln f\u00fcr Smartcards zum ssh-agent die Beschr\u00e4nkungen, die mit der Option \u201essh-add -h\u201c festgelegt wurden, nicht an den Agenten \u00fcbergeben wurden. Infolgedessen wurde ein Schl\u00fcssel zum Agenten hinzugef\u00fcgt, f\u00fcr den keine Einschr\u00e4nkungen galten, die Verbindungen nur von bestimmten Hosts zulie\u00dfen.\n
Im Tool ssh wurde eine Sicherheitsanf\u00e4lligkeit entdeckt, die zum Lesen von Daten aus dem Stack au\u00dferhalb des zugewiesenen Puffers f\u00fchren kann, wenn speziell formatierte DNS-Antworten mit der Konfiguration VerifyHostKeyDNS in der Konfigurationsdatei verarbeitet werden. Das Problem besteht in der eingebauten Implementierung der Funktion getrrsetbyname(), die in portablen Versionen von OpenSSH verwendet wird, die ohne die externe Bibliothek ldns (--with-ldns) kompiliert werden, und auf Systemen mit Standardbibliotheken, die den Aufruf von getrrsetbyname() nicht unterst\u00fctzen. Die M\u00f6glichkeit der Ausnutzung der Sicherheitsanf\u00e4lligkeit wird, abgesehen von der M\u00f6glichkeit, einen Denial-of-Service-Angriff auf den ssh-Client zu initiieren, als unwahrscheinlich eingesch\u00e4tzt. <\/ul>\n
Zus\u00e4tzlich kann eine Sicherheitsanf\u00e4lligkeit in der Bibliothek libskey, die Teil von OpenBSD ist und in OpenSSH verwendet wird, erw\u00e4hnt werden. Das Problem besteht seit 1997 und kann zu einem Puffer\u00fcberlauf auf dem Stack bei der Verarbeitung speziell formatierter Hostnamen f\u00fchren. Es wird angemerkt, dass, obwohl die Ausnutzung der Sicherheitsanf\u00e4lligkeit aus der Ferne \u00fcber OpenSSH initiiert werden kann, sie in der Praxis nutzlos ist, da der Name des angegriffenen Hosts (\/etc\/hostname) mehr als 126 Zeichen enthalten muss, und der Puffer nur mit Null-Zeichen ('') \u00fcberf\u00fcllt werden kann. <\/p>\n
Unter den nicht mit Sicherheit verbundenen \u00c4nderungen: <\/p>\n
\n
In ssh-keygen und ssh-keyscan wurde die Unterst\u00fctzung des Parameters \u201e-Ohashalg=sha1|sha256\u201c zur Auswahl des Algorithmus f\u00fcr die Darstellung von SSHFP-Hashes hinzugef\u00fcgt.\n
In sshd wurde die Option \u201e-G\u201c hinzugef\u00fcgt, um die aktive Konfiguration zu analysieren und anzuzeigen, ohne zu versuchen, private Schl\u00fcssel zu laden und ohne zus\u00e4tzliche \u00dcberpr\u00fcfungen durchzuf\u00fchren, was es erm\u00f6glicht, die Konfiguration vor der Schl\u00fcsselgenerierung zu \u00fcberpr\u00fcfen und die \u00dcberpr\u00fcfung durch nicht privilegierte Benutzer durchzuf\u00fchren.\n
In sshd wurde die Isolierung auf der Linux-Plattform verst\u00e4rkt, die die Mechanismen zur Filterung von Systemaufrufen seccomp und seccomp-bpf benutzt. Flags f\u00fcr mmap, madvise und futex wurden zur Liste der erlaubten Systemaufrufe hinzugef\u00fcgt. <\/ul>\n