Avaldasime OpenSSH 10.6, avatud allika kliendi ja serveri rakenduse SSH 2.0 ja SFTP protokollide jaoks. Parandatud on turvaprobleeme, millest enamik tuvastati koodi anal\u00fc\u00fcsi k\u00e4igus AI-t\u00f6\u00f6riistade abil (CVE-tuvastused ei ole antud): <\/p>\n
\n
R\u00fcnnakuv\u00f5imekus sftp-s, mis v\u00f5imaldab faili kirjutada sihtkausta v\u00e4ljaspool, kui p\u00f6\u00f6rduda pahatahtliku serveri poole.\n
Kaks haavatavust GSSAPI rakenduses sshd, mis on p\u00f5hjustatud oleku salvestamisest erinevate autentimise katsete vahel. GSSAPI kasutajatunnused v\u00f5isid j\u00e4\u00e4da kehtima p\u00e4rast eba\u00f5nnestunud autentimise katset ning neid v\u00f5idi kasutada p\u00e4rast eduka autentimise katset. Probleemid ilmnevad GSSAPIAuthentication seade lubatud olekus.\n
Sshd ja ssh on suures mahus peatatud LZ77 tihendamise toetus, mis v\u00f5imaldab kolmanda osapoole r\u00fcnnakut, mis v\u00f5ib teise sessiooni sisu taastada, kui \u00fchendatakse teise osapoole jagatud mitmeotstarbelise \u00fchendusega, kasutades teadlikult pahatahtlikke sisendeid, mis m\u00f5jutavad edastatud kr\u00fcpteeritud s\u00f5numite \u00fcldpikkust (LZ77 asendab korduvad read linkidega, mis asuvad k\u00f5igi kanalite \u00fchisosas).\n
SSH utiliidis on keeloitud kasutada s\u00fcmboleid '$' ja '\\' kasutajanimedes, mis sisestatakse k\u00e4sureale, kuna nende abil oli v\u00f5imalik korraldada koodi t\u00e4itmist, kui neid asendati k\u00e4skude ProxyCommand ja Match exec, mis on m\u00e4\u00e4ratud seadetesse.\n
Ssh-keygenis on parandatud suveaja vale t\u00f6\u00f6tlemine, mis p\u00f5hjustas sertifikaatide kehtivuse aja nihke 1 tunni v\u00f5rra.\n
Zip-pommide loomise blokeerimiseks on sshd ja ssh-sse lisatud kontrollima, kas paketi maksimaalne suurus \u00fcletatakse andmete lahtipakkimise ajal.\n
SSHd-s on lahendatud probleem, mis v\u00f5imaldas m\u00f6\u00f6da minna v\u00f5tit s\u00f5na 'restrict' piirangutest authorized_keys failis, mis ei kehtinud tunnelitele (PermitTunnel).\n
SSHd-s on k\u00f5rvaldatud valesti option 'none' t\u00f5lgendamine Match blokis, kus see m\u00f5nes k\u00e4sus, nagu AuthorizedPrincipalsFile, t\u00f5lgendati kui faili nime, mitte kui direktiivi keelamise m\u00e4rki.\n
SSHd-s on k\u00f5rvaldatud root privileges puudumine platvormidel, mis ei toeta failikirjeldajate edastamist ja n\u00f5uavad PTY eraldamiseks root \u00f5igusi. Probleem esineb QNX 6-s, SCO OpenServer 5-s ja ehitamisel valikuga '--disable-fd-passing'. <\/ul>\n
Haavatavustega mitteseotud muudatused: <\/p>\n
\n
H\u00fcbriidkr\u00fcptograafia ssh-mldsa44-ed25519 tugi on lubatud, mis on kvantarvutitega sissetungimise suhtes vastupidav.\n
sshd_configis on kehtestatud ja vaikimisi lubatud WarnWeakCrypto valik, et hallata teateid n\u00f5rkade kr\u00fcptograafiaga\u00fchenduste kohta, mis ei ole kvantarvutite suhtes turvalised.\n
ssh-keygenis ja ssh-addis on rakendatud poliitika credProtect kontroll, et t\u00e4ita autentimise n\u00f5udeid (PIN v\u00f5i biomeetria) enne juurdep\u00e4\u00e4su andmete jaoks FIDO tokenites.\n
SSH-addis on lisatud lipp '-P', et j\u00e4tta vahele valikuline PIN-koodi sisestamine FIDO ja PKCS#11 tokenite jaoks.\n
ssh k\u00e4skluses ~I on rakendatud teabe kuvamine kohalike ja kaugs\u00fcsteemide versioonide kohta.\n
SFTP-s on mkdir\/lmkdir k\u00e4skudele lisatud lipp '-p', et vajadusel kaustu luua.\n
SSH-keygenis on lisatud 'hexdump' re\u017eiim v\u00f5tmete eksportimiseks kuuek\u00fcmnendkujuliste dumpidena (nt dokumentatsiooni lisamiseks).\n
ssh ja sshd direktiivis ChannelTimeout on lubatud m\u00e4\u00e4rata ajutalunikke t\u00e4psusega kuni murdosadeni.\n
sshd-s on lisatud valik AgentSocketPath, et m\u00e4\u00e4rata tee $SSH_AUTH_SOCK-ile agendi edastamisel (nt user:.ssh\/agent alamkaustades $HOME ja shared:\/tmp \u00fchiskasutatavates kataloogides).\n
SSH-agentis on lisatud lipp '-A', et m\u00e4\u00e4rata agentide soklite kataloogid, kus lubatakse kasutada prefikseid 'user:' ja 'shared:', nagu AgentSocketPath valikus.\n
SSHd-s on avalike v\u00f5tmete kontrollimine eraldatud autentimise katsetest. Lisatud on valik 'PubkeyOptions max-pk-ok:nnnn', et seadistada avatud v\u00f5tmete kontrollimise katsete arvu (vaikimisi 6), p\u00e4rast mida katkestatakse \u00fchendus MaxAuthTries limiidi t\u00f5ttu.\n
SSH-s ja SSHd-s on TCPKeepAlive valikusse lisatud tugi v\u00e4\u00e4rtusele 'all', mis h\u00f5lmab keepalive-pakettide saatmist mitte ainult peamisele \u00fchendusele, vaid ka selle kaudu suunatud \u00fchendustele. <\/ul>\n