{"id":107307,"date":"2023-03-16T12:48:10","date_gmt":"2023-03-16T10:48:10","guid":{"rendered":"https:\/\/prohoster.info\/?p=107307"},"modified":"2023-03-17T13:35:25","modified_gmt":"2023-03-17T11:35:25","slug":"obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","title":{"rendered":"OpenSSH 9.3 v\u00e4rskendus, mis lahendab turvaprobleeme","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avalikustatud on OpenSSH 9.3, avatud rakenduse klient ja server, mis t\u00f6\u00f6tab SSH 2.0 ja SFTP protokollide alusel. Uues versioonis on k\u00f5rvaldatud turvaprobleemid: <\/p>\n
\n
Ssh-add utiliid tuvastati loogiline viga, mille t\u00f5ttu ei edastatud ssh-agendile nutikaartide v\u00f5tmeste lisamisel piiranguid, mida m\u00e4\u00e4rati suvandi \"ssh-add -h\" abil. Tulemuseks oli, et agendile lisati v\u00f5ti, millele ei olnud kohaldatud piiranguid, mis lubavad \u00fchendusi ainult teatud hostidelt.\n
Ssh utiliid tuvastati haavatavus, mis v\u00f5ib viia andmete lugemiseni m\u00e4lupuhvrisse, mis asub kaugemal eraldatud puhvrist, spetsiaalselt vormindatud DNS-vastuste t\u00f6\u00f6tlemisel, kui konfigureerimisfailis on lubatud VerifyHostKeyDNS seade. Probleem esineb sisseehitatud realiseerimises funktsiooni getrrsetbyname(), mida kasutatakse \u00fclekantavates OpenSSH versioonides, mis on kompileeritud ilma v\u00e4lise raamatukogu ldns (\u2014with-ldns) kasutamiseta ja s\u00fcsteemides, kus standardraamatukogud ei toeta getrrsetbyname() nimetuse kutsumist. Haavatavuse kuritarvitamise v\u00f5imalust, v\u00e4lja arvatud ssh kliendi teenindamisest keeldumise algatamiseks, peetakse ebat\u00f5en\u00e4oliseks. <\/ul>\n
Lisaks v\u00f5ib m\u00e4rkida, et OpenBSD raamatukogus libskey, mis on osa OpenSSH-st, on haavatavus. Probleem on esinenud alates 1997. aastast ja v\u00f5ib p\u00f5hjustada puhvri \u00fclevoolu m\u00e4lus, kui t\u00f6\u00f6deldakse spetsiaalselt vormindatud hostinimesid. M\u00e4rgitakse, et kuigi haavatavuse ilmingut saab algatada kaugelt OpenSSH kaudu, on see praktikas kasutusk\u00f5lbmatu, kuna selle ilminguks peab r\u00fcnnaku sihthosti nimi (\/etc\/hostname) sisaldama rohkem kui 126 t\u00e4hte ning puhvri t\u00e4itmiseks saavad kasutada ainult nullkoodiga (\u2019\u2019) s\u00fcmbolid. <\/p>\n
Ohutusega mitteseotud muudatused: <\/p>\n
\n
Ssh-keygen ja ssh-keyscan on lisatud toeks parameetrile \"-Ohashalg=sha1|sha256\" SSHFP road esitlemise algoritmi valimiseks.\n
Sshd-sse on lisatud valik \"-G\", et anal\u00fc\u00fcsida ja kuvada aktiivset konfiguratsiooni, ilma et p\u00fc\u00fcda laadida privaatv\u00f5tmeid ja ilma t\u00e4iendavate kontrollideta, mis v\u00f5imaldab kontrollida konfiguratsiooni enne v\u00f5tmete genereerimist ja lubada kontrollimise teostamist ilma \u00f5igusteta kasutajate poolt.\n
T\u00f6\u00f6lauaprogrammis sshd on suurenenud isoleeritus Linuxi platvormil, kasutades s\u00fcsteemikutsese filtreerimise mehhanisme seccomp ja seccomp-bpf. Lubatud s\u00fcsteemikutsete loendisse on lisatud lipud mmap, madvise ja futex. <\/ul>\n