Avaldatud on OpenSSH 9.3 väljalase, mis on kliendi ja serveri avatud rakendus SSH 2.0 ja SFTP protokollidega töötamiseks. Uus versioon lahendab turvaprobleemid:
- Utiliidis ssh-add tuvastati loogiline tõrge, mille tõttu ssh-agendile kiipkaartide võtmete lisamisel ei edastatud agendile käsuga “ssh-add -h” määratud piiranguid. Selle tulemusena lisati agendile võti, millele piiranguid ei rakendatud, võimaldades ühendusi ainult teatud hostidelt.
- Ssh-utiliidis on tuvastatud haavatavus, mis võib spetsiaalselt vormindatud DNS-i vastuste töötlemisel põhjustada andmete lugemist virnapiirkonnast väljaspool eraldatud puhvrit, kui konfiguratsioonifailis on lubatud säte VerifyHostKeyDNS. Probleem on funktsiooni getrrsetbyname() sisseehitatud teostuses, mida kasutatakse OpenSSH kaasaskantavates versioonides, mis on kompileeritud ilma välist ldns-i teeki (-with-ldns) kasutamata, ja süsteemides, mille standardteegid ei toeta funktsiooni getrrsetbyname( ) helistama. Haavatavuse ärakasutamise võimalust, välja arvatud ssh-kliendi teenuse keelamise algatamine, hinnatakse ebatõenäoliseks.
Lisaks võite märkida haavatavuse OpenBSD-s sisalduvas libskey teegis, mida kasutatakse OpenSSH-s. Probleem on esinenud alates 1997. aastast ja võib spetsiaalselt vormindatud hostinimede töötlemisel põhjustada pinupuhvri ületäitumise. Märgitakse, et hoolimata asjaolust, et haavatavuse avaldumist saab käivitada kaugjuhtimisega OpenSSH kaudu, on haavatavus praktikas kasutu, kuna selle avaldumiseks peab rünnatava hosti nimi (/etc/hostinimi) sisaldama rohkem kui 126 tähemärki ja puhver võib olla täis ainult nullkoodiga märke ('\0').
Turvalisusega mitteseotud muudatused hõlmavad järgmist:
- Lisati tugi parameetrile "-Ohashalg=sha1|sha256" ssh-keygenile ja ssh-keyscanile, et valida SSHFP tüki kuvamisalgoritm.
- sshd on lisanud suvandi "-G" aktiivse konfiguratsiooni sõelumiseks ja kuvamiseks ilma privaatvõtmeid laadimata ja täiendavaid kontrolle tegemata, mis võimaldab teil kontrollida konfiguratsiooni etapis enne võtme genereerimist ja käivitada kontrolli privilegeerimata kasutajate poolt.
- sshd suurendab isolatsiooni Linuxi platvormil, kasutades seccomp ja seccomp-bpf süsteemikõnede filtreerimismehhanisme. Lubatud süsteemikõnede loendisse on lisatud lipud mmap, madvise ja futex jaoks.
Allikas: opennet.ru