{"id":112310,"date":"2023-12-19T03:10:31","date_gmt":"2023-12-19T01:10:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-9-6-c-ustraneniem-uyazvimostej"},"modified":"2023-12-19T03:10:31","modified_gmt":"2023-12-19T01:10:31","slug":"reliz-openssh-9-6-c-ustraneniem-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/reliz-openssh-9-6-c-ustraneniem-uyazvimostej","title":{"rendered":"Release von OpenSSH 9.6 mit Beseitigung von Sicherheitsanf\u00e4lligkeiten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung von OpenSSH 9.6, der offenen Implementierung eines Clients und Servers zur Nutzung der Protokolle SSH 2.0 und SFTP, ist erfolgt. In der neuen Version wurden drei Sicherheitsprobleme behoben: <\/p>\n
\n
Eine Schwachstelle im SSH-Protokoll (CVE-2023-48795, Angriff \u201eTerrapin\u201c), die es im Rahmen eines MITM-Angriffs erm\u00f6glicht, die Verbindung auf weniger sichere Authentifizierungsalgorithmen zur\u00fcckzusetzen und den Schutz vor Angriffen \u00fcber externe Kan\u00e4le, die die Eingabe durch die Analyse der Verz\u00f6gerungen zwischen Tastendr\u00fccken nachstellen, zu deaktivieren. Die Angriffsmethode ist in einer separaten Nachricht dargestellt.\n
Eine Schwachstelle im ssh-Tool, die die Ausf\u00fchrung beliebiger Shell-Befehle durch Manipulation der Login- und Hostwerte, die Sonderzeichen enthalten, erm\u00f6glicht. Die Schwachstelle kann ausgenutzt werden, wenn der Angreifer die Werte f\u00fcr Login und Hostnamen, die an ssh, die Direktiven ProxyCommand und LocalCommand oder die Bl\u00f6cke \u201ematch exec\u201c \u00fcbergeben werden und in denen Platzhalter wie %u und %h angegeben sind, kontrolliert. Beispielsweise k\u00f6nnen inkorrekte Login- und Hostwerte in Systemen eingesetzt werden, die Submodule in Git verwenden, da Git die Angabe von Sonderzeichen im Host- und Benutzernamen nicht verbietet. Eine \u00e4hnliche Schwachstelle tritt auch in libssh auf.\n
Ein Fehler im ssh-agent, aufgrund dessen beim Hinzuf\u00fcgen von privaten PKCS#11-Schl\u00fcsseln die Einschr\u00e4nkungen nur auf den ersten Schl\u00fcssel angewendet wurden, der vom PKCS#11-Token zur\u00fcckgegeben wurde. Das Problem betrifft keine regul\u00e4ren privaten Schl\u00fcssel, FIDO-Token und Schl\u00fcssel, die ohne Einschr\u00e4nkungen festgelegt wurden. <\/ul>\n
Weitere \u00c4nderungen: <\/p>\n
\n
In ssh wurde der Platzhalter \u201e%j\u201c hinzugef\u00fcgt, der in den Hostnamen aufgel\u00f6st wird, der \u00fcber die ProxyJump-Direktive angegeben ist.\n
In ssh wurde die Unterst\u00fctzung f\u00fcr die Konfiguration von ChannelTimeout auf der Client-Seite hinzugef\u00fcgt, die verwendet werden kann, um inaktive Kan\u00e4le zu beenden.\n
In ssh, sshd, ssh-add und ssh-keygen wurde die Unterst\u00fctzung f\u00fcr das Lesen von ED25519 privaten Schl\u00fcsseln im PEM PKCS8-Format eingef\u00fchrt (zuvor wurde nur das OpenSSH-Format unterst\u00fctzt).\n
In ssh und sshd wurde eine Protokollerweiterung zur erneuten Aushandlung der digitalen Signaturalgorithmen f\u00fcr die Authentifizierung mit \u00f6ffentlichen Schl\u00fcsseln hinzugef\u00fcgt, die in der Phase nach Erhalt der Benutzerdaten erfolgt. Beispielsweise kann mit der Erweiterung selektiv auf andere Algorithmen in Verbindung mit Benutzern zugegriffen werden, indem man PubkeyAcceptedAlgorithms im Block \u201eMatch user\u201c angibt.\n
In ssh-add und ssh-agent wurde eine Protokollerweiterung zum Festlegen von Zertifikaten beim Laden von PKCS#11-Schl\u00fcsseln hinzugef\u00fcgt, die es erm\u00f6glicht, Zertifikate, die mit PKCS#11-schl\u00fcsselbasierten privaten Schl\u00fcsseln verbunden sind, in allen OpenSSH-Dienstprogrammen zu verwenden, die ssh-agent unterst\u00fctzen, und nicht nur in ssh.\n
Die Erkennung von nicht unterst\u00fctzten oder instabilen Compiler-Flaggen, wie \u201e-fzero-call-used-regs\u201c in clang, wurde verbessert.\n
Um die Privilegien des Prozesses sshd in OpenSolaris-Versionen, die das getpflags()-Interface unterst\u00fctzen, einzuschr\u00e4nken, wird der Modus PRIV_XPOLICY anstelle von PRIV_LIMIT verwendet. <\/ul>\n