🥇OpenSSH 10.1 väljaanne

Avalikustatud on OpenSSH 10.1, avatud rakenduse klient ja server, mis töötab SSH 2.0 ja SFTP protokollide kaudu.

Peamised muudatused:

Ravitud on turvaprobleem, mis võimaldab ründajal shell-käske sisestada, manipuleerides erimärkidega kasutajanimes või URI-s, mis võidakse täita käskluste käivitamisel, mis on määratud „ProxyCommand” seadistuses ja sisaldavad asendust „%u”. Probleem puudutab ainult süsteeme, mis lubavad ssh käivitamisel kasutajanime või URI asendust, mis on saadud usaldusväärsetest allikatest.
Kahjustuste vältimiseks on keelatud juhtmärgiste kasutamine kasutajanimedes, mis on käivitatud käskude reas või asendatud seadistustes %-järjestuste kaudu. Samuti on keelatud nullmärgi („\0”) kasutamine ssh:// URI-s. Erand on tehtud ainult konfiguratsioonifailis määratud nimede puhul (mööndus, et see konfiguratsioonifail on usaldusväärne).
SSH ja ssh-agent tarkvaradesse on lisatud tugi ed25519 võtmete jaoks, mis on salvestatud PKCS#11 tokenites.
Faili ssh_config on lisatud seadistus RefuseConnection, mille töötlemisel katsetatakse aktiivses sektsioonis protsessi lõpetamist veateate väljastamisega, ilma ühenduse loomise katsetamiseta. Match host foo RefuseConnection „host foo ei ole enam kasutusel, palun ühendage hostiga bar”
SSH ja sshd on lisatud SIGINFO signaalide töötlejad logi tehtud seansi ja aktiivse kanali teabe väljastamiseks.
SSHD-s, kui kasutaja sertifikaadi autentimine on tagasi lükatud, tagatakse logisse mitte ainult sisendi blokeerimise põhjus, vaid ka ammendav teave probleemse sertifikaadi tuvastamiseks.
SSHD-s on lisatud X11 ekraani numbri kontroll vastavalt X11DisplayOffset direktiivis määratud nihkele.
Üksuste testide komplekti on lisatud jõudluse mõõtmise võimalused, mida aktiveeritakse käivitamise ajal, kasutades „make UNITTEST_BENCHMARK=yes” OpenBSD-s või „make unit-bench” teistes süsteemides.

Muutused, mis võivad rikkuda tagurpidi ühilduvust:

SSH-s on lisatud hoiatusteade, kui ühendus luuakse kvantarvutitele vastupidava võtme lepingualgoritmiga. Hoiatus on lisatud tuleviku rünnakute riskide tõttu, kasutades varem salvestatud andmevooge. Hoiatuse keelamiseks on ssh_config-sse lisatud valik WarnWeakCrypto. Match host unsafe.example.com WarnWeakCrypto no
SSH-s ja sshd-s on oluliselt muudetud DSCP (IPQoS) kvaliteedi määramise parameetrite käsitlemist. Interaktiivse liikluse jaoks on vaikimisi seadistatud EF (Expedited Forwarding) klass, et tagada prioriteetne töötlemine juhtmevabadetes võrkudes. Mitteinteraktiivse liikluse jaoks on seadistatud tüüp, mida operatsioonisüsteem vaikimisi kasutab. Liikluse klassi saab muuta ssh_config ja sshd_config IPQoS seadistuse kaudu. IPv4 ToS (teenuse tüüp) parameetrid IPQoS direktiivis on kuulutatud aegunuks (ToS on asendunud DSCP-ga).
SSH-add-s, kui sertifikaati lisatakse ssh-agentile, on rakendatud sertifikaadi eluea seadistamine väärtuseks, mis on 5 minutit pikem kui sertifikaadi kehtivusaeg (automaatne aegunud sertifikaadi eemaldamine). Selle käitumise keelamiseks on ssh-add-sse lisatud valik „-N”.
XMSS-võtmete tugi, mis oli märgistatud eksperimentaalseks ja mis kunagi vaikesätetes sisse ei lülitatud, on eemaldatud.
Unix-sokid, mida ssh-agent ja sshd loovad, on viidud katalooge /tmp ~ / .ssh / agent, mis tagab, et eraldatud protsessid, kellele on piiratud juurdepääs failisüsteemile, ei saaks andmesokke kasutada, kuid juurdepääs /tmp-le on avatud.

Tulevastes versioonides kuulutatakse SHA1 SSHFP DNS-kirjed aegunuks, kuna SHA1 häkkimisfunktsiooni usaldusväärsusega on probleeme. Need kirjed jäetakse tähelepanuta ja käsk „ssh-keygen -r” genereerib ainult SHA256 SSHFP kirjeid.

Allikas: opennet.ru

OpenSSH 10.1 väljalase