{"id":144216,"date":"2025-10-06T17:11:54","date_gmt":"2025-10-06T15:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-10-1"},"modified":"2025-10-06T17:11:54","modified_gmt":"2025-10-06T15:11:54","slug":"reliz-openssh-10-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/reliz-openssh-10-1","title":{"rendered":"Lanzamiento de OpenSSH 10.1.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha publicado la versi\u00f3n OpenSSH 10.1, una implementaci\u00f3n abierta de cliente y servidor para trabajar con los protocolos SSH 2.0 y SFTP. <\/p>\n
Principales cambios: <\/p>\n
\n
Se ha solucionado un problema de seguridad que permite a un atacante inyectar comandos shell a trav\u00e9s de manipulaciones con caracteres especiales en el nombre de usuario o URI, que podr\u00edan ejecutarse al ejecutar el comando especificado en la configuraci\u00f3n «ProxyCommand» y que contiene una sustituci\u00f3n «%u». El problema solo afecta a sistemas que permiten la sustituci\u00f3n de nombres de usuario o URIs provenientes de fuentes no confiables al iniciar ssh.\n
Para bloquear ataques similares, se proh\u00edbe el uso de caracteres de control en los nombres de usuario proporcionados al iniciar desde la l\u00ednea de comandos o sustituidos en la configuraci\u00f3n a trav\u00e9s de secuencias %-de. Tambi\u00e9n se proh\u00edbe el uso del car\u00e1cter nulo («\0») en ssh:\/\/ URIs. Se hace una excepci\u00f3n solo para los nombres definidos en el archivo de configuraci\u00f3n (se asume que estos datos son de confianza). <\/p>\n
Se ha agregado soporte para claves ed25519 almacenadas en tokens PKCS#11 en las utilidades ssh y ssh-agent.\n
Se ha a\u00f1adido la configuraci\u00f3n RefuseConnection al archivo de configuraci\u00f3n ssh_config, que finaliza el proceso con un mensaje de error sin intentar establecer una conexi\u00f3n en la secci\u00f3n activa. Match host foo RefuseConnection «el host foo ya no est\u00e1 en uso, con\u00e9ctese al host bar»\n
Se han agregado manejadores de se\u00f1al SIGINFO a ssh y sshd para registrar informaci\u00f3n sobre la sesi\u00f3n y el canal activo.\n
En sshd, si se rechaza la autenticaci\u00f3n del usuario mediante un certificado, se asegura que se registre en el log no solo la raz\u00f3n del bloqueo del acceso, sino tambi\u00e9n informaci\u00f3n exhaustiva para identificar el certificado problem\u00e1tico.\n
Se ha a\u00f1adido una verificaci\u00f3n del n\u00famero de pantalla X11, en relaci\u00f3n con el desplazamiento especificado en la directiva X11DisplayOffset en sshd.\n
Se han a\u00f1adido capacidades de medici\u00f3n de rendimiento a la suite de pruebas unitarias, que se activan al ejecutar «make UNITTEST_BENCHMARK=yes» en OpenBSD o «make unit-bench» en otros sistemas. <\/ul>\n
Cambios que pueden romper la compatibilidad hacia atr\u00e1s: <\/p>\n
\n
Se ha a\u00f1adido una advertencia en ssh al utilizar un algoritmo de negociaci\u00f3n de claves que no es resistente a la recuperaci\u00f3n en una computadora cu\u00e1ntica. La advertencia se incluye debido al riesgo de ataques futuros utilizando vol\u00famenes de tr\u00e1fico previamente guardados. Para desactivar la advertencia, se ha agregado la opci\u00f3n WarnWeakCrypto en ssh_config. Match host unsafe.example.com WarnWeakCrypto no\n
Se ha modificado significativamente el tratamiento de los par\u00e1metros de calidad del servicio DSCP (IPQoS) en ssh y sshd. Ahora, la clase EF (Expedited Forwarding) se establece de forma predeterminada para el tr\u00e1fico interactivo, priorizando su procesamiento en redes inal\u00e1mbricas. Para el tr\u00e1fico no interactivo, se utiliza la clase predeterminada de la sistema operativo. La clase de tr\u00e1fico se puede modificar mediante la configuraci\u00f3n de IPQoS en ssh_config y sshd_config. Los par\u00e1metros ToS (tipo de servicio) para IPv4 en la directiva IPQoS se han declarado obsoletos (DSCP ha reemplazado a ToS).\n
En ssh-add, al agregar un certificado al ssh-agent, se ha implementado el establecimiento del tiempo de vida del certificado en un valor que es 5 minutos mayor que el plazo de validez del certificado (para la eliminaci\u00f3n autom\u00e1tica del certificado caducado). Se ha a\u00f1adido la opci\u00f3n «-N» en ssh-add para desactivar este comportamiento.\n
Se ha eliminado el soporte para claves XMSS, que se hab\u00eda marcado como experimental y nunca se hab\u00eda incluido de forma predeterminada.\n
Los sockets Unix, creados por los procesos ssh-agent y sshd, se han trasladado del directorio \/tmp a ~\/ .ssh\/agent, lo que garantiza que no se pueda acceder a esos sockets desde procesos aislados, que tienen acceso limitado al sistema de archivos, pero tienen acceso a \/tmp. <\/ul>\n