OpenSSH 10.3 väljalaskmine

Pärast poole aasta arendust on ilmunud versioon OpenSSH 10.3, avatud rakenduse klient ja serverilt töötamiseks protokollide SSH 2.0 ja SFTP. Peamised muudatused:

• Aadressitud on haavatavus, mis võimaldab ründajal, kellel on kontroll kasutajanime üle, mis edastatakse ssh utiliidi käivitamisel, potentsiaalselt saavutada juhuslike shell-käskude täitmine. Haavatavus ilmneb süsteemides, mis kasutavad "%u" asendust mõnedes konfigureerimisfaili direktiivides, nagu "Match exec". Probleem tuleneb erimärkide kontrollimisest kasutajanimes pärast %-asenduste teostamist ssh_config konfigureerimisfailis.
• Korrigeeritud on turvaprobleem sshd-s, mis tuleneb authorized_keys valiku principials="" vale vastavuse testimisest sertifikaadi nimede (principal) loendiga, kui nimedes on kirjas märk ",". Haavatavuse kasutamiseks peab authorized_keys valikus principials="" olema mitmeid nimesid ja sertifikaadi väljastaja peab olema välja andnud sertifikaadi, millel on mitu nime, mis on eraldatud komaga (tavaliselt ei ole see lubatud). Käitumine tühja nimega sertifikaatide osas on muudetud — varem kuulus tühja nimi kõikidesse authorized_keys principials="" valikutesse, nüüd ei kuulu.
• scp-s on lahendatud probleem, mille tõttu ei puhastatud pärast failide üleslaadimist root õigustega, kasutades valikut "-O" ja ilma "-p" valikuta setuid/setgid lippe.
• sshd-s on parandatud ECDSA võtmete töötlemise probleem PubkeyAcceptedAlgorithms ja HostbasedAcceptedAlgorithms direktiivides, mille tõttu, kui on määratud mõni ECDSA algoritm (näiteks "ecdsa-sha2-nistp384"), hakati aktsepteerima ka kõiki teisi ECDSA baasil põhinevaid algoritme, isegi kui need ei olnud selgelt lubatud nimekirjas.
• ssh-s ja sshd-s on SSH-agentidega suhtlemisel lisatud IANA määratletud (codepoint) identifikaatorite tugi draft-ietf-sshm-ssh-agent spetsifikatsioonis. Varem kasutatud identifikaatorite vormi "@openssh.com" tugi on säilinud.
• ssh-agentis on rakendatud laiendus "query", mis on määratletud draft-ietf-sshm-ssh-agent spetsifikatsioonis ja võimaldab määrata agendi toetatud funktsioone. Toetatud protokolli laiendite loendi pärimiseks on ssh-add utiliiti lisatud valik "-Q".
• sshd_config-is on lubatud näidata mitmeid faile RevokedKeys direktiivis, ja ssh_config-is RevokedHostKeys direktiivis.
• SSH-ы lisati escape-käsk «~I» ja valik «-O conninfo» praeguse ühenduse teabe kuvamiseks, samuti valik «-O channels» avatud kanalite teabe kuvamiseks.
• SSHD-s on direktiivis PerSourcePenalties rakendatud valik ‘invaliduser’, et lisada viivitus, kui proovite sisse logida mittesemantiva kasutaja alla (vaikimisi 5-sekundiline). Lisatud on võimalus määrata mitte-kümnendlikke viivitusaegu.
• SSHD-s on lisatud valik GSSAPIDelegateCredentials, et hallata kliendi poolt esitatud delegeeritud akrediteerimiste vastuvõttu.
• SSH-keygenis on toetatud ED25519 võtmete salvestamist PKCS8 formaadis.
• Toetatakse digitaalsete allkirjade skeemi ed25519, mis on ellu viidud läbi libcrypto.

Allikas: opennet.ru