OpenSSH 9.6 väljaanne, kus on parandatud haavatavused.

Avaldatud on OpenSSH 9.6 versioon, avatud lähtekoodiga kliendi ja serveri rakendus SSH 2.0 ja SFTP protokollide jaoks. Uues versioonis on kõrvaldatud kolm turvaprobleemi:

• Turvavea olemasolu SSH protokollis (CVE-2023-48795, rünnak „Terrapin“), mis võimaldab MITM-rünnaku käigus tagasi pöörduda vähem kaitstud autentimise algoritmide kasutamise juurde ning keelata kaitse rünnakute eest kõrvaliste kanalite kaudu, mis jäljendavad klaviatuuri nupu vajutamise viivitusi. Rünnakumeetodist on eraldi uudis.
• Turvavea olemasolu ssh tööriistas, mis võimaldab suvaliste shell-käskude sisestamist, manipuleerides logini ja hosti väärtustega, mis sisaldavad spetsiaalmärke. Turvavedu saab ära kasutada, kui ründaja kontrollib ssh-s edastatavate logini ja hostinime väärtusi, samuti ProxyCommand ja LocalCommand direktiivide väärtusi või „match exec“ plokke, kuhu on määratud asendusmärgid, näiteks %u ja %h. Näiteks vale logini ja hosti kasutamine on võimalik süsteemides, mis kasutavad Git alamsüsteeme, kuna Git ei piira spetsiaalsete märkide kasutamist hosti ja kasutaja nimedes. Sarnane turvavea ilming esineb ka libssh-s.
• Viga ssh-agentis, mille tõttu PKCS#11 privaatsete võtmete lisamisel kehtisid piirangud ainult esimesse võtmesse, mille tagastas PKCS#11 token. Probleem ei puuduta tavalisi privaatvõtmeid, FIDO tokeneid ja piiranguteta määratud võtmeid.

Ülejäänud muudatused:

• ssh-s on lisatud asenduse „%j“ toetus, mis avatakse hostinimeks, nagu on määratud ProxyJump direktiivis.
• ssh-s on lisatud ChannelTimeout seadistamise tugi kliendi poolel, mida saab kasutada mitteaktiivsete kanalite lõpetamiseks.
• ssh-s, sshd-s, ssh-add-s ja ssh-keygen-is on lisatud tugi ED25519 privaatvõtmete lugemiseks PEM PKCS8 formaadis (varasemalt toetati ainult OpenSSH formaati).
• ssh-s ja sshd-s on lisatud protokolli laiendamine, et uuesti leppida kokku digitaalallkirjastamise algoritmides, mis kehtivad avatud võtmete autentimise jaoks, mis toimub pärast kasutajanime teabe saamist. Näiteks võib laienduse abil valikuliselt kasutada teisi algoritme kasutajatele seotud konfigureerimise kaudu, määrates PubkeyAcceptedAlgorithms „Match user“ ploki alla.
• ssh-add ja ssh-agent on lisatud protokolli laiendus, et määrata sertifikaate PKCS#11 võtmete laadimise ajal, mis võimaldab kasutada PKCS#11-sse seotud sertifikaate kõigis OpenSSH utiliitides, mis toetavad ssh-agenti, mitte ainult ssh-s.
• Parandatud on ebastabiilsete või mitte toetatud kompilatsiooni lipukeste tuvastamist, nagu "-fzero-call-used-regs" clangis.
• Ahnjatuse piiramiseks sshd protsessis OpenSolaris versioonides, mis toetavad getpflags() liidese kasutamist, on aktiveeritud PRIV_XPOLICY režiim PRIV_LIMIT asemel.

Allikas: opennet.ru