OpenSSH 10.3 väljaanne

Pärast kuue kuu arendust on välja antud OpenSSH 10.3, avatud klient ja serverile server, mis toetab SSH 2.0 ja SFTP protokolle. Peamised muudatused:

• Kardetud haavatavus, mis võimaldas ründajal, kes kontrollis käivitatud ssh utiliidi käivitamisel edastatavat kasutajanime, potentsiaalselt käivitada juhuslikke shell-komande. See haavatavus esines süsteemides, mis kasutasid '%u' asendust mõnedes konfiguratsioonifailide direktiivides, nagu "Match exec". Probleem tulenes erimärkide kontrollimisest kasutajanimes (%-asenduste töötlemise järel) ssh_config konfiguratsioonifailis.
• Korrigeeritud on sshd turvaprobleem, mis tulenes sobimatu sobitamisest authorized_keys direktiivis principals="" nimede loeteluga (principal) sertifikaadist, kui nimedes oli märk «,». Selle haavatavuse ekspluateerimiseks pidi authorized_keys direktiivis olema määratud mitu nime ning sertifikaadi välja andnud sertifitseerimiskeskus pidi välja andma sertifikaadi mitme nimega, eraldatuna koma kaudu (tavaliselt seda ei lubata). Muudetud on tühja nimega sertifikaatide käitumist — varem kuulutati tühi nimi alla kõikidele authorized_keys direktiivides soovitatud valikutele, nüüd aga mitte.
• Scpis on lahendatud probleem, mille tõttu ei eemaldatud pärast faili üleslaadimist root õigustega koos valiku «-O» ja ilma «-p» valikuta setuid/setgid flage.
• sshd-s on parandatud ECDSA võtmete töötlemise probleem, mis esines direktiivides PubkeyAcceptedAlgorithms ja HostbasedAcceptedAlgorithms, mille tõttu hakati aktsepteerima kõiki ECDSA põhiseid algoritme, kui määrati ükski ECDSA algoritm (näiteks «ecdsa-sha2-nistp384»), isegi kui neid ei olnud selgelt aktsepteeritavate nimekiri.
• ssh ja sshd on lisatud toetus identifikaatoritele (codepoint), mis on määratletud IANA poolt draft-ietf-sshm-ssh-agent spetsifikatsioonis. Varasemalt kasutatud identifikaatorite toetus, nagu «@openssh.com», on säilinud.
• ssh-agentis on rakendatud «query» laiendus, mis on määratletud draft-ietf-sshm-ssh-agent spetsifikatsioonis ja mis võimaldab määrata agenti toetavad funktsioonid. Toetuste loendi saamiseks on ssh-add utiliidile lisatud «-Q» valik.
• sshd_configis on lubatud määrata mitu faili direktiivis RevokedKeys ning ssh_configis direktiivis RevokedHostKeys.
• ssh-s on lisatud escape-käsk «~I» ning valik «-O conninfo», et näidata praeguse ühenduse teavet, samuti valik «-O channels», et näidata avatud kanalite teavet.
• sshd-s on direktiivis PerSourcePenalties rakendatud valik ‘invaliduser’, et lisada viivitus, kui proovida siseneda mitteeksisteeriva kasutajana (vaikimisi 5-sekundiline). Lisatud on võimalus määrata mitte täisarvulisi viivitusväärtusi.
• sshd-s on lisatud valik GSSAPIDelegateCredentials, et hallata kliendi esitatud delegeeritud mandaate.
• ssh-keygenis on lisatud toetus ED25519 võtmete salvestamiseks PKCS8 formaadis.
• Lisatud on ed25519 digiallkirjade skeemi toetus, mis on ellu viidud läbi libcrypto.

Allikas: opennet.ru