{"id":106630,"date":"2023-02-03T12:48:25","date_gmt":"2023-02-03T10:48:25","guid":{"rendered":"https:\/\/prohoster.info\/?p=106630"},"modified":"2023-02-03T21:50:37","modified_gmt":"2023-02-03T19:50:37","slug":"vypusk-openssh-9-2-s-ustraneniem-uyazvimosti-proyavlyayushhejsya-na-etape-do-autentifikaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/vypusk-openssh-9-2-s-ustraneniem-uyazvimosti-proyavlyayushhejsya-na-etape-do-autentifikaczii","title":{"rendered":"OpenSSH 9.2 v\u00e4ljaanne, mis k\u00f5rvaldab haavatavuse, mis avaldub autentimise eelsetel etappidel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avaldatud on OpenSSH 9.2 versioon, avatud kliendi ja serveri teostus SSH 2.0 ja SFTP protokollide jaoks. Uues versioonis on k\u00f5rvaldatud haavatavus, mis p\u00f5hjustas m\u00e4lu topeltvabastamise autentimisprotsessi eel. Ainult OpenSSH 9.1 versioon on haavatav, varasemates versioonides probleem ei esine. <\/p>\n
Vulnerabiliteedi ilmingu tingimuste loomiseks piisab, kui muuta SSH-kliendi b\u00e4nneriks «SSH-2.0-FuTTYSH_9.1p1», et saavutada «SSH_BUG_CURVE25519PAD» ja «SSH_OLD_DHGEX» lippude seadmine, mis s\u00f5ltuvad SSH-kliendi versioonist. P\u00e4rast nende lipu seadmist vabastatakse m\u00e4lu «options.kex_algorithms» jaoks kaks korda — esmalt funktsiooni do_ssh2_kex() t\u00e4itmisel, mis kutsub esile compat_kex_proposal(), ja seej\u00e4rel funktsiooni do_authentication2() t\u00e4itmisel, mis kutsub j\u00e4rjestikku esile input_userauth_request(), mm_getpwnamallow(), copy_set_server_options(), assemble_algorithms() ja kex_assemble_names(). <\/p>\n
T\u00f6\u00f6tava eksploidijate loomine antud haavatavuse jaoks peetakse ebat\u00f5en\u00e4oliseks, kuna ekspluateerimise protsess on liiga keeruline — t\u00e4nap\u00e4evased m\u00e4luhalduse teegid pakuvad kaitset topeltm\u00e4lu vabastamise eest ning haavatuse esinemise hetk on pre-auth, mis toimub madalamate \u00f5igustega isoleeritud liivakastikeskkonnas. <\/p>\n
Lisaks mainitud haavatavusele on uues versioonis lahendatud ka veel kaks turvaprobleemi: <\/p>\n
\n
Viga konfiguratsiooni «PermitRemoteOpen» t\u00f6\u00f6tlemisel, mis viib esimest argumenti ignoreerimiseni, kui see erineb v\u00e4\u00e4rtustest «any» ja «none». Probleem ilmneb OpenSSH versioonides, mis on uuemad kui 8.7, ja toob kaasa kontrolli vahelej\u00e4tmise, kui on m\u00e4\u00e4ratud ainult \u00fcks volitus.\n
R\u00fcndaja, kes kontrollib DNS-serverit, mida kasutatakse nimede m\u00e4\u00e4ramiseks, v\u00f5ib saavutada erim\u00e4rkide (nt «*») asendamise known_hosts failides, kui konfiguratsioonis on sisse l\u00fclitatud valikud CanonicalizeHostname ja CanonicalizePermittedCNAMEs ning s\u00fcsteemi resolver ei kontrolli DNS-serveri vastuste \u00f5igsust. Selle r\u00fcnnaku sooritamine peetakse ebat\u00f5en\u00e4oliseks, kuna tagastatavad nimed peavad vastama tingimustele, mis on seatud l\u00e4bi CanonicalizePermittedCNAMEs. <\/ul>\n
Muud muudatused: <\/p>\n
\n
ssh_config failis on SSH-le lisatud seadistus EnableEscapeCommandline, mis reguleerib kliendi poolelt escape-j\u00e4rjestuse «~C» t\u00f6\u00f6tlemise lubamist, mis pakub k\u00e4surea. Vaikimisi on «~C» t\u00f6\u00f6tlemine n\u00fc\u00fcd v\u00e4lja l\u00fclitatud, et kasutada rangemat liivakasti isoleerimist, mis v\u00f5ib potentsiaalselt p\u00f5hjustada probleemide tekkimist s\u00fcsteemides, kus «~C» kasutatakse sadamate suunamiseks t\u00f6\u00f6 ajal.\n
sshd_config-failis on sshd-le lisatud direktiiv ChannelTimeout, mis m\u00e4\u00e4rab kanali mitteaktiivsuse ajakava (kanalid, kus direktiivis m\u00e4\u00e4ratud ajal ei ole liiklust, suletakse automaatselt). Sessiooni, X11, agendi ja liikluse edastamise jaoks v\u00f5ivad olla m\u00e4\u00e4ratud erinevad ajad.\n
sshd_config-failis on sshd-le lisatud direktiiv UnusedConnectionTimeout, mis v\u00f5imaldab m\u00e4\u00e4rata ajakava, et l\u00f5petada kliendi \u00fchendusi, mis on olnud teatud aja jooksul aktiivsete kanalite puudumisel.\n
sshd-sse on lisatud valik «-V», et kuvada versiooni sarnaselt sarnasele valikule ssh kliendis.\n
K\u00e4sku «ssh -G» on lisatud rida «Host», mis peegeldab argumendi, millel on hostinime v\u00e4\u00e4rtus.\n
scp ja sftp-s on lisatud valik «-X» protokolli SFTP parameetrite, n\u00e4iteks kopeerimise puhvri suuruse ja l\u00f5petamist ootavate p\u00e4ringute arvu haldamiseks.\n
ssh-keyscan-is on lubatud skaneerida t\u00e4islahutusi CIDR-aadresside, n\u00e4iteks «ssh-keyscan 192.168.0.0\/24». <\/ul>\n