{"id":183658,"date":"2026-10-06T22:53:58","date_gmt":"2026-10-06T20:53:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-openssh-10-6-s-ustraneniem-uyazvimostej"},"modified":"2026-10-06T22:54:02","modified_gmt":"2026-10-06T20:54:02","slug":"openssh-10-6-released-with-vulnerability-fixes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/openssh-10-6-released-with-vulnerability-fixes","title":{"rendered":"Ver\u00f6ffentlichung von OpenSSH 10.6 zur Behebung von Sicherheitsanf\u00e4lligkeiten.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung von OpenSSH 10.6 wurde bekannt gegeben, einer offenen Implementierung des Clients und Servers f\u00fcr die Protokolle SSH 2.0 und SFTP. Sicherheitsprobleme wurden behoben, die meisten davon wurden bei der Codeanalyse mit AI-Tools entdeckt (CVE-IDs wurden nicht zugewiesen): <\/p>\n
\n
Eine Schwachstelle in sftp erm\u00f6glicht es, eine Datei au\u00dferhalb des Zielverzeichnisses zu schreiben, wenn auf einen von einem Angreifer kontrollierten Server zugegriffen wird.\n
Zwei Schwachstellen in der GSSAPI-Implementierung in sshd, verursacht durch die Speicherung des Zustands zwischen verschiedenen Authentifizierungsversuchen. GSSAPI-Anmeldeinformationen konnten nach einem fehlgeschlagenen Authentifizierungsversuch gespeichert und nach einem folgenden erfolgreichen Authentifizierungsversuch verwendet werden. Die Probleme treten auf, wenn die Einstellung GSSAPIAuthentication aktiviert ist.\n
In sshd und ssh wurde die Unterst\u00fctzung f\u00fcr LZ77-Komprimierung deaktiviert, um Angriffen \u00fcber Seitenkan\u00e4le zu verhindern, die es erm\u00f6glichen, den Inhalt aus einer anderen Sitzung wiederherzustellen, wenn \u00fcber eine mit dem Opfer gemeinsam genutzte multiplexierte Verbindung verbunden, und dabei ausgenutzte kontrollierte Eingaben die Gesamtgr\u00f6\u00dfe der \u00fcbermittelten verschl\u00fcsselten Nachrichten beeinflussen (LZ77 ersetzt wiederholte Zeilen durch Verweise im gemeinsamen Puffer f\u00fcr alle Kan\u00e4le).\n
In der SSH-Anwendung ist es verboten, die Zeichen '$' und '\\' in Benutzernamen, die in der Befehlszeile eingegeben werden, zu verwenden, da es auf diese Weise m\u00f6glich war, die Ausf\u00fchrung von Code durch die Einf\u00fcgung von Namen in die Direktiven ProxyCommand und Match exec, die in den Einstellungen angegeben sind, zu organisieren.\n
In ssh-keygen wurde die fehlerhafte Behandlung der Sommerzeit behoben, die dazu f\u00fchrte, dass die G\u00fcltigkeitsdauer von Zertifikaten um eine Stunde verschoben wurde.\n
Um die Erstellung von Zip-Bomben zu blockieren, wurde in sshd und ssh eine \u00dcberpr\u00fcfung der \u00dcberschreitung der maximalen Paketgr\u00f6\u00dfe beim Entpacken von Daten hinzugef\u00fcgt.\n
In der sshd wurde ein Problem behoben, das es erm\u00f6glichte, die Einschr\u00e4nkungen des Schl\u00fcsselworts \u00abrestrict\u00bb in der Datei authorized_keys zu umgehen, die nicht auf Tunnel (PermitTunnel) angewendet wurden.\n
In der sshd wurde das fehlerhafte Parsen der Option \u00abnone\u00bb innerhalb von Match-Bl\u00f6cken behoben, die in einigen Direktiven wie AuthorizedPrincipalsFile als Dateiname und nicht als Zeichen zur Deaktivierung der Direktive interpretiert wurde.\n
In der sshd wurde das Fehlen des Zur\u00fccksetzens von Root-Rechten auf Plattformen, die keine \u00dcbertragung von Dateideskriptoren unterst\u00fctzen und f\u00fcr die Zuweisung eines PTY Root-Rechte ben\u00f6tigen, behoben. Das Problem tritt unter QNX 6, SCO OpenServer 5 und beim Bauen mit der Option \u00ab--disable-fd-passing\u00bb auf. <\/ul>\n
\u00c4nderungen, die nicht mit Sicherheitsanf\u00e4lligkeiten zusammenh\u00e4ngen: <\/p>\n
\n
Die Unterst\u00fctzung des hybriden Kryptoalgorithmus ssh-mldsa44-ed25519, der gegen Quantencomputer resistent ist, wurde aktiviert.\n
In der sshd_config wurde die Option WarnWeakCrypto, die standardm\u00e4\u00dfig aktiviert ist, implementiert, um Warnmeldungen \u00fcber die Verwendung von Schl\u00fcsselvereinbarungsalgorithmen, die nicht quantenresistent sind, zu verwalten.\n
In ssh-keygen und ssh-add wurde die \u00dcberpr\u00fcfung der credProtect-Politik in den Anmeldeinformationen implementiert, um die Anforderungen an die Verifizierung (PIN oder Biometrie) vor dem Zugriff auf die residenten Schl\u00fcssel auf FIDO-Tokens zu erf\u00fcllen.\n
In ssh-add wurde die Option \u00ab-P\u00bb hinzugef\u00fcgt, um die optionale Eingabe einer PIN f\u00fcr FIDO- und PKCS#11-Token zu \u00fcberspringen.\n
In ssh wurde im Befehl ~I die Ausgabe von Versionsinformationen zu lokalen und entfernten Systemen implementiert.\n
In sftp wurde den Befehlen mkdir\/lmkdir die Option '-p' hinzugef\u00fcgt, um Verzeichnisse bei Bedarf zu erstellen.\n
In ssh-keygen wurde der Modus \u00abhexdump\u00bb hinzugef\u00fcgt, um Schl\u00fcssel in Form von hexadezimalen Dumps zu exportieren (z. B. zum Einf\u00fcgen in die Dokumentation).\n
In ssh und sshd wurde in der Direktive ChannelTimeout die Angabe von Zeit\u00fcberschreitungen mit einer Genauigkeit von Bruchteilen einer Sekunde erm\u00f6glicht.\n
In sshd wurde die Option AgentSocketPath hinzugef\u00fcgt, um den Pfad zu $SSH_AUTH_SOCK beim Durchschleifen des Agents anzugeben (zum Beispiel user:.ssh\/agent f\u00fcr Unterverzeichnisse in $HOME und shared:\/tmp f\u00fcr gemeinsame Verzeichnisse).\n
In ssh-agent wurde die Option \u00ab-A\u00bb hinzugef\u00fcgt, um Verzeichnisse mit den Agent-Socket-Dateien anzugeben, bei denen die Pr\u00e4fixe \u00abuser:\u00bb und \u00abshared:\u00bb wie in der Option AgentSocketPath zul\u00e4ssig sind.\n
In der sshd wurde die \u00dcberpr\u00fcfung der \u00f6ffentlichen Schl\u00fcssel von den Authentifizierungsversuchen getrennt. Eine Option \u00abPubkeyOptions max-pk-ok:nnnn\u00bb wurde hinzugef\u00fcgt, um die Anzahl der Versuche zur \u00dcberpr\u00fcfung der \u00f6ffentlichen Schl\u00fcssel (standardm\u00e4\u00dfig 6) einzustellen, nach denen die Verbindung aufgrund der MaxAuthTries-Grenze getrennt wird.\n
In ssh und sshd wurde der Option TCPKeepAlive die Unterst\u00fctzung des Wertes \u00aball\u00bb hinzugef\u00fcgt, der das Senden von Keepalive-Paketen nicht nur f\u00fcr die Hauptverbindung, sondern auch f\u00fcr dar\u00fcber geleitete Verbindungen umfasst. <\/ul>\n