{"id":144216,"date":"2025-10-06T17:11:54","date_gmt":"2025-10-06T15:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-10-1"},"modified":"2025-10-06T17:11:54","modified_gmt":"2025-10-06T15:11:54","slug":"reliz-openssh-10-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/reliz-openssh-10-1","title":{"rendered":"Ver\u00f6ffentlichung von OpenSSH 10.1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Version OpenSSH 10.1 wurde ver\u00f6ffentlicht, eine Open-Source-Implementierung von Client und Server f\u00fcr die Protokolle SSH 2.0 und SFTP. <\/p>\n
Wesentliche \u00c4nderungen: <\/p>\n
\n
Ein Sicherheitsproblem wurde behoben, das es einem Angreifer erm\u00f6glichte, Shell-Befehle durch Manipulation von Sonderzeichen im Benutzernamen oder URI einzuschleusen. Diese konnten bei der Ausf\u00fchrung von Befehlen, die \u00fcber die Einstellung «ProxyCommand» angegeben wurden und die Platzhalter «%u» enthielten, ausgef\u00fchrt werden. Das Problem betrifft nur Systeme, die beim Start von ssh Benutzernamen oder URIs akzeptieren, die aus nicht vertrauensw\u00fcrdigen Quellen stammen.\n
Um solche Angriffe zu verhindern, ist die Verwendung von Steuerzeichen in Benutzernamen, die beim Start in der Befehlszeile angegeben oder \u00fcber %-Sequenzen in Einstellungen eingef\u00fcgt werden, untersagt. Auch die Verwendung des Nullzeichens («\0») in ssh:\/\/-URIs ist nicht erlaubt. Eine Ausnahme wurde nur f\u00fcr Namen gemacht, die in der Konfigurationsdatei angegeben sind (es wird davon ausgegangen, dass diese Konfigurationsdateien vertrauensw\u00fcrdig sind). <\/p>\n
In die Tools ssh und ssh-agent wurde die Unterst\u00fctzung f\u00fcr ed25519-Schl\u00fcssel, die in PKCS#11-Token gespeichert sind, hinzugef\u00fcgt.\n
In die Konfigurationsdatei ssh_config wurde die Einstellung RefuseConnection hinzugef\u00fcgt. Diese sorgt daf\u00fcr, dass im aktiven Abschnitt der Prozess mit einer Fehlermeldung beendet wird, ohne eine Verbindung herzustellen. Match host foo RefuseConnection «Host foo wird nicht mehr verwendet, bitte verbinden Sie sich mit dem Host bar»\n
In ssh und sshd wurden Signalhandler f\u00fcr SIGINFO hinzugef\u00fcgt, um Informationen \u00fcber die Sitzung und den aktiven Kanal in das Protokoll auszugeben.\n
In sshd wird im Falle einer Ablehnung der Benutzerauthentifizierung \u00fcber das Zertifikat nicht nur der Grund f\u00fcr die Sperrung des Zugangs, sondern auch umfassende Informationen zur Identifizierung des fehlerhaften Zertifikats in das Protokoll geschrieben.\n
In sshd wurde eine \u00dcberpr\u00fcfung der X11-Anzeigenummer in Bezug auf die in der Direktive X11DisplayOffset angegebene Verschiebung hinzugef\u00fcgt.\n
In das Set von Unit-Tests wurden Funktionen zur Leistungsbewertung aufgenommen, die durch das Starten von «make UNITTEST_BENCHMARK=yes» in OpenBSD oder «make unit-bench» in anderen Systemen aktiviert werden k\u00f6nnen. <\/ul>\n
\u00c4nderungen, die m\u00f6glicherweise die R\u00fcckw\u00e4rtskompatibilit\u00e4t beeintr\u00e4chtigen: <\/p>\n
\n
In ssh wurde eine Warnung hinzugef\u00fcgt, wenn bei der Herstellung einer Verbindung ein Schl\u00fcssel\u00fcbereinstimmungsalgorithmus verwendet wird, der nicht quantensicher ist. Die Warnung wurde aufgrund des Risikos zuk\u00fcnftiger Angriffe, die unter Verwendung zuvor gespeicherter Datenverkehrsdumps durchgef\u00fchrt werden k\u00f6nnten, hinzugef\u00fcgt. Um die Warnung zu deaktivieren, wurde die Option WarnWeakCrypto in ssh_config hinzugef\u00fcgt. Match host unsafe.example.com WarnWeakCrypto no\n
In ssh und sshd wurde die Verarbeitung der Quality of Service (QoS) DSCP-Parameter (IPQoS) erheblich ge\u00e4ndert. F\u00fcr interaktive Daten\u00fcbertragungen wird jetzt standardm\u00e4\u00dfig die EF-Klasse (Expedited Forwarding) festgelegt, um eine bevorzugte Verarbeitung in drahtlosen Netzwerken zu erm\u00f6glichen. F\u00fcr nicht-interaktive Daten\u00fcbertragungen wird die Standardklasse verwendet, die im Betriebssystem festgelegt ist. Die Verkehrsklasse kann \u00fcber die Konfiguration von IPQoS in ssh_config und sshd_config ge\u00e4ndert werden. Die ToS-Parameter (Type of Service) f\u00fcr IPv4 in der IPQoS-Direktive wurden als veraltet erkl\u00e4rt (DSCP ersetzt ToS).\n
In ssh-add wurde beim Hinzuf\u00fcgen eines Zertifikats zum ssh-agent die Lebensdauer des Zertifikats auf 5 Minuten \u00fcber die Laufzeit des Zertifikats hinaus festgelegt (zur automatischen Entfernung abgelaufener Zertifikate). Um dieses Verhalten in ssh-add zu deaktivieren, wurde die Option «-N» hinzugef\u00fcgt.\n
Support for XMSS keys has been removed, as it was marked experimental and was never enabled by default.\n
Unix sockets created by the ssh-agent and sshd processes have been moved from the \/tmp directory to ~\/.ssh\/agent, ensuring that access through these sockets is not possible from isolated processes that have restricted access to the filesystem but have access to \/tmp. <\/ul>\n