{"id":107307,"date":"2023-03-16T12:48:10","date_gmt":"2023-03-16T10:48:10","guid":{"rendered":"https:\/\/prohoster.info\/?p=107307"},"modified":"2023-03-17T13:35:25","modified_gmt":"2023-03-17T11:35:25","slug":"obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","title":{"rendered":"OpenSSH 9.3 v\u00e4rskendus, mis lahendab turvaprobleemid","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avaldatud OpenSSH 9.3 versioon, avatud kliendi ja serveri implementatsioon SSH 2.0 ja SFTP protokollide jaoks. Uues versioonis on lahendatud j\u00e4rgmised turvaprobleemid: <\/p>\n
\n
Ssh-add utiliidis leiti loogiline viga, mille t\u00f5ttu ei edastatud ssh-agentile n\u00e4iteks nutikaardile lisatavate v\u00f5tmete piiranguid, mis on m\u00e4\u00e4ratud valikuga «ssh-add -h». Tulemusena lisati agenti v\u00f5ti, millele ei kohaldu piiramised, mis lubavad \u00fchendusi ainult teatud hostidelt.\n
Ssh utiliidis leiti haavatavus, mis v\u00f5ib p\u00f5hjustada andmete lugemist virna alalt v\u00e4ljaspool eraldatud puhvrid, kui t\u00f6\u00f6teldakse spetsiaalselt vormindatud DNS-vastuseid, tingimusel et VerifyHostKeyDNS seade on konfigureerimisfailis sisse l\u00fclitatud. Probleem on olemas sisseehitatud teostuses funktsioonist getrrsetbyname(), mida kasutatakse siirdatavates OpenSSH versioonides, mis on koostatud ilma v\u00e4lise ldns teegi kasutamiseta (—with-ldns) ja s\u00fcsteemides, kus standardteegid ei toeta getrrsetbyname() kutsungit. Haavatavuse \u00e4rakasutumise v\u00f5imalust, v\u00e4lja arvatud ssh kliendi teenuse katkestamise initsieerimise osas, peetakse v\u00e4het\u00f5en\u00e4oliseks. <\/ul>\n
Lisaks tuleb m\u00e4rkida OpenBSD teegi libskey haavatavus, mis on osa OpenSSH-st. Probleem on olnud olemas alates 1997. aastast ja v\u00f5ib p\u00f5hjustada virna \u00fcleujutuse spetsiaalselt vormindatud hostinimede t\u00f6\u00f6tlemisel. T\u00e4heldatakse, et kuigi haavatavust saab algatada kaugest OpenSSH kaudu, on see praktikas kasutu, kuna haavatavuse ilmnemiseks peab r\u00fcnnatud hosti nimi (\/etc\/hostname) olema pikem kui 126 t\u00e4hem\u00e4rki ja puhvrisse saab \u00fcleujutuse tekitada ainult nullkoodi m\u00e4rkidega (‘\0’). <\/p>\n
Ssh-keygen ja ssh-keyscan on lisatud tugi parameetrile «-Ohashalg=sha1|sha256» SSHFP j\u00e4lgimist algoritmi valimiseks.\n
Sshd-sse on lisatud valik «-G» aktiivse konfigureerimise anal\u00fc\u00fcsimiseks ja kuvamiseks ilma katseteta laadida privaatv\u00f5tmeid ja ilma t\u00e4iendavate kontrollideta, mis v\u00f5imaldab kontrollida konfiguratsiooni enne v\u00f5tmete genereerimist ja k\u00e4ivitada kontrolli privileegideta kasutajate poolt.\n
Linuxi platvormil on sshd tugevdatud isoleerimist, kasutades s\u00fcsteemikutsungite filtreerimise mehhanisme seccomp ja seccomp-bpf. Lubatud s\u00fcsteemikutsungite loetellu on lisatud lipud mmap, madvise ja futex. <\/ul>\n