La liberigo de OpenSSH 9.3, malferma efektivigo de la kliento kaj servilo por labori super la SSH 2.0 kaj SFTP-protokoloj, estis publikigita. La nova versio korektas sekurecajn problemojn:
- Logika eraro estis identigita en la ssh-add ilo, pro kiu, aldonante smartcard-ŝlosilojn al ssh-agent, la restriktoj specifitaj per la "ssh-add -h" opcio ne estis pasitaj al la agento. Kiel rezulto, ŝlosilo estis aldonita al la agento, por kiu limigoj ne estis aplikitaj kiuj permesis ligojn nur de certaj gastigantoj.
- Vulnerabileco estis identigita en la ssh-ilaĵo, kiu povus kaŭzi datumojn legi el la staka areo ekster la asignita bufro dum prilaborado de speciale kreitaj DNS-respondoj se la agordo VerifyHostKeyDNS estas inkluzivita en la agorda dosiero. La problemo ekzistas en la enkonstruita efektivigo de la funkcio getrrsetbyname(), kiu estas uzata en porteblaj versioj de OpenSSH konstruitaj sen uzi la eksteran ldns-bibliotekon (--with-ldns) kaj en sistemoj kun normaj bibliotekoj kiuj ne subtenas la getrrsetbyname. () voki. La ebleco de ekspluatado de la vundebleco, krom iniciati neon de servo por la ssh-kliento, estas taksita kiel neverŝajna.
Aldone, vundebleco povas esti notita en la libskey-biblioteko inkluzivita kun OpenBSD, kiu estas uzata en OpenSSH. La problemo ĉeestas ekde 1997 kaj povas konduki al bufro-superfluo sur la stako dum prilaborado de speciale kreitaj gastigaj nomoj. Oni rimarkas, ke malgraŭ la fakto, ke la manifestiĝo de la vundebleco povas esti komencita malproksime per OpenSSH, praktike la vundebleco estas senutila, ĉar por ĝia manifestiĝo la nomo de la atakita gastiganto (/etc/hostname) devas enhavi pli ol 126 signojn, kaj la bufro povas esti superfluita nur per signoj kun nula kodo ('\0').
Inter la ne-sekurecaj ŝanĝoj:
- Aldonita subteno por "-Ohashalg=sha1|sha256" parametro al ssh-keygen kaj ssh-keyscan por elekti algoritmon por montri SSHFP momentfotojn.
- Aldonita "-G" opcio al sshd por analizi kaj montri la aktivan agordon sen provi ŝargi privatajn ŝlosilojn kaj sen fari aldonajn kontrolojn, permesante ke agordo estu kontrolita antaŭ ŝlosilgenerado kaj esti rulita de senprivilegiaj uzantoj.
- sshd plifortigis izolitecon sur la Linukso-platformo uzante la seccomp kaj seccomp-bpf sistemajn vokojn filtrajn mekanismojn. Aldonitaj flagoj al mmap, madvise kaj futex al la listo de permesitaj sistemvokoj.
fonto: opennet.ru