Después de seis meses de desarrollo, se ha publicado el lanzamiento de OpenSSH 9.1, una implementación abierta del cliente y servidor para trabajar sobre los protocolos SSH 2.0 y SFTP. La versión se caracteriza por contener principalmente correcciones de errores, incluidas correcciones para varias vulnerabilidades potenciales causadas por problemas de memoria:
- Desbordamiento de un byte en el código de procesamiento del banner SSH en la utilidad ssh-keyscan.
- Una doble llamada a la función free() en caso de error al calcular hashes para archivos en el código para crear y verificar firmas digitales en la utilidad ssh-keygen.
- Doble llamada a free() al manejar errores en la utilidad ssh-keysign.
Cambios importantes:
- La directiva RequiredRSASize se agregó a ssh y sshd, lo que le permite definir el tamaño mínimo permitido de claves RSA. En sshd, las claves más pequeñas que esto se ignorarán, mientras que en ssh terminarán la conexión.
- La edición portátil de OpenSSH se ha convertido para utilizar claves SSH para firmar digitalmente confirmaciones y etiquetas en Git.
- Las directivas SetEnv en los archivos de configuración ssh_config y sshd_config ahora aplican el valor de la primera aparición de una variable de entorno si se define varias veces en la configuración (antes de eso, se aplicaba la última aparición).
- Al llamar a la utilidad ssh-keygen con el indicador "-A" (que genera todos los tipos de claves de host admitidas de forma predeterminada), se deshabilita la generación de claves DSA, que no se han utilizado de forma predeterminada durante varios años.
- sftp-server y sftp implementan la extensión "users-groups-by-id@openssh.com", que permite al cliente solicitar nombres de usuarios y grupos correspondientes a un conjunto específico de identificadores digitales (uid y gid). En sftp, esta extensión se utiliza para mostrar nombres al enumerar el contenido del directorio.
- sftp-server implementa la extensión "home-directory" para expandir las rutas ~/ y ~user/, una alternativa a la extensión "expand-path@openssh.com" propuesta previamente para los mismos propósitos (la extensión "home-directory" fue propuesta para estandarización y ya es soportada por algunos clientes).
- Se agregó la capacidad de ssh-keygen y sshd para especificar la hora UTC al determinar los intervalos de validez de claves y certificados, además de la hora del sistema.
- En sftp, se permiten argumentos adicionales en la opción "-D" (por ejemplo, "/usr/libexec/sftp-server -el debug3").
- ssh-keygen permite el uso del indicador "-U" (usando ssh-agent) junto con operaciones de "signo -Y" para determinar que las claves privadas se colocan en ssh-agent.
Fuente: opennet.ru
