Κυκλοφόρησε το OpenSSH 10.6, μια υλοποίηση ανοιχτού κώδικα για client και server για SSH 2.0 και SFTP. Αντιμετωπίστηκαν ζητήματα ασφαλείας, τα περισσότερα από τα οποία εντοπίστηκαν μέσω ανάλυσης κώδικα με χρήση εργαλείων τεχνητής νοημοσύνης (δεν έχουν εκχωρηθεί αναγνωριστικά CVE):
- Ένα θέμα ευπάθειας στο SFTP επιτρέπει την εγγραφή ενός αρχείου εκτός του καταλόγου-στόχου κατά την πρόσβαση σε έναν διακομιστή που ελέγχεται από εισβολείς.
- Δύο ευπάθειες στην υλοποίηση GSSAPI στο sshd προκλήθηκαν από τη διατήρηση της κατάστασης μεταξύ των προσπαθειών ελέγχου ταυτότητας. Τα διαπιστευτήρια GSSAPI θα μπορούσαν να παραμείνουν μετά από μια αποτυχημένη προσπάθεια ελέγχου ταυτότητας και να χρησιμοποιηθούν μετά από μια επακόλουθη επιτυχημένη προσπάθεια ελέγχου ταυτότητας. Τα προβλήματα εμφανίζονται όταν είναι ενεργοποιημένη η ρύθμιση GSSAPIAuthentication.
- Η υποστήριξη συμπίεσης LZ77 είναι απενεργοποιημένη στα sshd και ssh λόγω της πιθανότητας επίθεσης σε πλευρικό κανάλι που επιτρέπει την ανάκτηση περιεχομένου από άλλη συνεδρία όταν συνδέεται μέσω μιας κοινόχρηστης πολυπλεξικής σύνδεσης με το θύμα, εκμεταλλευόμενη το γεγονός ότι η ελεγχόμενη από τον εισβολέα είσοδος επηρεάζει το συνολικό μήκος των μεταδιδόμενων κρυπτογραφημένων μηνυμάτων (το LZ77 αντικαθιστά τις επαναλαμβανόμενες συμβολοσειρές με αναφορές σε ένα buffer που μοιράζονται όλα τα κανάλια).
- Το βοηθητικό πρόγραμμα ssh απαγορεύει τη χρήση των χαρακτήρων '$' και '\' στα ονόματα χρήστη που εισάγονται στη γραμμή εντολών, καθώς θα μπορούσαν να χρησιμοποιηθούν για την εκτέλεση κώδικα κατά την αντικατάσταση ονομάτων στις οδηγίες ProxyCommand και Match exec που καθορίζονται στις ρυθμίσεις.
- Στο ssh-keygen, διορθώθηκε ο εσφαλμένος χειρισμός της θερινής ώρας, ο οποίος είχε ως αποτέλεσμα τη μετατόπιση της ημερομηνίας λήξης του πιστοποιητικού κατά 1 ώρα.
- Για να αποκλειστεί η δημιουργία zip bombs σε sshd και ssh, έχει προστεθεί έλεγχος για υπέρβαση του μέγιστου μεγέθους πακέτου κατά την αποσυσκευασία δεδομένων.
- Στο sshd, επιλύθηκε ένα πρόβλημα όπου ο περιορισμός της λέξης-κλειδιού "restrict" στο αρχείο authorized_keys παρακάμπτονταν και δεν εφαρμοζόταν σε σήραγγες (PermitTunnel).
- Στο sshd, η επιλογή "none" δεν αναλύονταν πλέον εσφαλμένα μέσα στα μπλοκ Match, κάτι που σε ορισμένες οδηγίες, όπως το AuthorizedPrincipalsFile, ερμηνευόταν ως όνομα αρχείου και όχι ως ένδειξη ότι η οδηγία ήταν απενεργοποιημένη.
- Διορθώθηκε ένα σφάλμα στο sshd όπου δεν γινόταν εκκαθάριση των δικαιωμάτων root σε πλατφόρμες που δεν υποστηρίζουν τη μεταβίβαση περιγραφέα αρχείων και απαιτούν δικαιώματα root για την εκχώρηση ενός PTY. Αυτό το πρόβλημα παρουσιάζεται στο QNX 6, στο SCO OpenServer 5 και κατά την κατασκευή με την επιλογή "--disable-fd-passing".
Αλλαγές που δεν σχετίζονται με ευπάθειες:
- Έχει ενεργοποιηθεί η υποστήριξη για τον υβριδικό κρυπτογραφικό αλγόριθμο ssh-mldsa44-ed25519, ο οποίος είναι ανθεκτικός σε επιθέσεις ωμής βίας σε κβαντικούς υπολογιστές.
- Η επιλογή WarnWeakCrypto έχει υλοποιηθεί και ενεργοποιηθεί από προεπιλογή στο sshd_config για να ελέγχει εάν εμφανίζονται προειδοποιήσεις κατά τη δημιουργία μιας σύνδεσης χρησιμοποιώντας αλγόριθμους συμφωνίας κλειδιού κβαντικής αντίστασης.
- Τα ssh-keygen και ssh-add εφαρμόζουν μια πολιτική credProtect, ελέγχοντας τα διαπιστευτήρια για την εκπλήρωση των απαιτήσεων επαλήθευσης (PIN ή βιομετρικά στοιχεία) πριν από την πρόσβαση σε κλειδιά που βρίσκονται σε tokens FIDO.
- Προστέθηκε η σημαία "-P" στο ssh-add για να παρακάμπτεται η προαιρετική εισαγωγή PIN για τα διακριτικά FIDO και PKCS#11.
- Στο ssh, η εντολή ~I εμφανίζει πληροφορίες σχετικά με τις εκδόσεις σε τοπικά και απομακρυσμένα συστήματα.
- Στο sftp, η σημαία '-p' έχει προστεθεί στις εντολές mkdir/lmkdir για τη δημιουργία καταλόγων, εάν είναι απαραίτητο.
- Έχει προστεθεί μια λειτουργία "hexdump" στο ssh-keygen για την εξαγωγή κλειδιών ως δεκαεξαδικά dumps (για παράδειγμα, για επικόλληση σε τεκμηρίωση).
- Στα ssh και sshd, η οδηγία ChannelTimeout σάς επιτρέπει να καθορίσετε χρονικά όρια με ακρίβεια κλασματικού δευτερολέπτου.
- Προστέθηκε η επιλογή AgentSocketPath στο sshd για να καθοριστεί η διαδρομή προς το $SSH_AUTH_SOCK κατά την προώθηση ενός agent (π.χ. user:.ssh/agent για υποκαταλόγους στο $HOME και shared:/tmp για κοινόχρηστους καταλόγους).
- Ο ssh-agent έχει μια σημαία "-A" για τον καθορισμό καταλόγων με υποδοχές agent, η οποία επιτρέπει τον καθορισμό των προθεμάτων "user:" και "shared:", όπως στην επιλογή AgentSocketPath.
- Στο sshd, η επαλήθευση δημόσιου κλειδιού είναι πλέον ξεχωριστή από τις προσπάθειες ελέγχου ταυτότητας. Προστέθηκε η επιλογή "PubkeyOptions max-pk-ok:nnnn" για να διαμορφώσετε τον αριθμό των προσπαθειών επαλήθευσης δημόσιου κλειδιού (6 από προεπιλογή) μετά τις οποίες η σύνδεση θα τερματίζεται με βάση το όριο MaxAuthTries.
- Στα ssh και sshd, η επιλογή TCPKeepAlive υποστηρίζει πλέον την τιμή "all", η οποία επιτρέπει την αποστολή πακέτων keepalive όχι μόνο για την κύρια σύνδεση, αλλά και για συνδέσεις που προωθούνται μέσω αυτής.
Πηγή: opennet.ru
