Die Ver\u00f6ffentlichung von OpenSSH 10.1, einer Open-Source-Implementierung von Client und Server f\u00fcr die Protokolle SSH 2.0 und SFTP, wurde bekanntgegeben. <\/p>\n
Haupt\u00e4nderungen: <\/p>\n
\n
Das Sicherheitsproblem wurde behoben, das es einem Angreifer erm\u00f6glicht, Shell-Befehle durch Manipulation mit Sonderzeichen im Benutzernamen oder URI einzuschleusen, die bei der Ausf\u00fchrung des \u00fcber die Einstellung «ProxyCommand» angegebenen Befehls ausgef\u00fchrt werden konnten und die Platzhalter «%u» enthielten. Das Problem betrifft nur Systeme, die bei der Ausf\u00fchrung von ssh Benutzernamen oder URIs aus nicht vertrauensw\u00fcrdigen Quellen zulassen.\n
Um solche Angriffe zu verhindern, ist die Verwendung von Steuerzeichen in Benutzernamen, die beim Start in der Befehlszeile angegeben oder \u00fcber %-Sequenzen in die Einstellungen eingef\u00fcgt werden, verboten. Auch die Verwendung des Nullzeichens («\0») in ssh:\/\/ URIs ist untersagt. Eine Ausnahme gilt nur f\u00fcr Namen, die in der Konfigurationsdatei festgelegt sind (es wird davon ausgegangen, dass diese Konfigurationsdatei vertrauensw\u00fcrdig ist). <\/p>\n
Die Tools ssh und ssh-agent unterst\u00fctzen nun ed25519-Schl\u00fcssel, die in PKCS#11-Token gespeichert sind.\n
In die Konfigurationsdatei ssh_config wurde die Einstellung RefuseConnection hinzugef\u00fcgt, bei deren Verarbeitung in der aktiven Sektion der Prozess mit einer Fehlermeldung beendet wird, ohne zu versuchen, eine Verbindung herzustellen. Match host foo RefuseConnection «Der Host foo wird nicht mehr verwendet, verbinden Sie sich mit dem Host bar»\n
In ssh und sshd wurden SIGINFO-Signalhandler hinzugef\u00fcgt, um Informationen \u00fcber die Sitzung und den aktiven Kanal in das Protokoll auszugeben.\n
In sshd wird im Falle einer Fehlerhaftigkeit bei der Authentifizierung des Benutzers mittels Zertifikat nicht nur der Grund f\u00fcr die Blockierung des Zugangs, sondern auch umfassende Informationen zur Identifizierung des problematischen Zertifikats im Protokoll ausgegeben.\n
In sshd wurde eine \u00dcberpr\u00fcfung der X11-Display-Nummer relativ zum Offset, der in der Direktive X11DisplayOffset angegeben ist, eingef\u00fchrt.\n
Im Satz der Unit-Tests wurden Leistungsmessfunktionen hinzugef\u00fcgt, die bei Ausf\u00fchrung von «make UNITTEST_BENCHMARK=yes» in OpenBSD oder «make unit-bench» in anderen Systemen aktiviert werden. <\/ul>\n
\u00c4nderungen, die potenziell die R\u00fcckw\u00e4rtskompatibilit\u00e4t st\u00f6ren: <\/p>\n
\n
In ssh wurde eine Warnung hinzugef\u00fcgt, wenn beim Herstellen einer Verbindung ein nicht quantensicherer Schl\u00fcsselvereinbarungsalgorithmus verwendet wird. Die Warnung wurde aufgrund des Risikos zuk\u00fcnftiger Angriffe eingef\u00fchrt, die auf zuvor aufgezeichneten Verkehrs-Dumps basieren. Um die Warnung zu deaktivieren, wurde die Option WarnWeakCrypto in ssh_config hinzugef\u00fcgt. Match host unsafe.example.com WarnWeakCrypto no\n
In ssh und sshd wurde die Verarbeitung der Quality of Service DSCP (IPQoS)-Parameter erheblich ver\u00e4ndert. F\u00fcr interaktiven Verkehr wird nun standardm\u00e4\u00dfig die Klasse EF (Expedited Forwarding) f\u00fcr eine priorisierte Verarbeitung in drahtlosen Netzwerken verwendet. F\u00fcr nicht-interaktiven Verkehr wird die Klasse verwendet, die standardm\u00e4\u00dfig im Betriebssystem eingestellt ist. Die Verkehrs Klasse kann mithilfe der IPQoS-Einstellungen in ssh_config und sshd_config ge\u00e4ndert werden. Die ToS (Type-of-Service)-Parameter f\u00fcr IPv4 in der IPQoS-Direktive sind als veraltet markiert (DSCP ist der Ersatz f\u00fcr ToS).\n
In ssh-add wurde beim Hinzuf\u00fcgen eines Zertifikats zu ssh-agent die Lebensdauer des Zertifikats auf einen Wert gesetzt, der 5 Minuten l\u00e4nger ist als die G\u00fcltigkeit des Zertifikats (um das automatische L\u00f6schen abgelaufener Zertifikate zu erm\u00f6glichen). Um dieses Verhalten in ssh-add zu deaktivieren, wurde die Option «-N» hinzugef\u00fcgt.\n
Die Unterst\u00fctzung f\u00fcr XMSS-Schl\u00fcssel wurde entfernt, die als experimentell gekennzeichnet war und nie standardm\u00e4\u00dfig eingeschaltet war.\n
Unix-Sockets, die von den Prozessen ssh-agent und sshd erstellt werden, wurden aus dem Verzeichnis \/tmp in ~\/ .ssh\/agent verschoben, um sicherzustellen, dass kein Zugriff \u00fcber diese Sockets von isolierten Prozessen m\u00f6glich ist, f\u00fcr die der Zugriff auf das Dateisystem eingeschr\u00e4nkt ist, aber der Zugriff auf \/tmp offen ist. <\/ul>\n