Après six mois de développement, la version OpenSSH 9.1 a été publiée, une implémentation ouverte d'un client et d'un serveur permettant de travailler sur les protocoles SSH 2.0 et SFTP. La version se caractérise comme contenant principalement des corrections de bogues, y compris plusieurs vulnérabilités potentielles causées par des problèmes de mémoire :
- Débordement d'un octet dans le code de traitement de la bannière SSH dans l'utilitaire ssh-keyscan.
- Double appel à la fonction free() en cas d'erreur lors du calcul des hachages des fichiers dans le code de création et de vérification des signatures numériques dans l'utilitaire ssh-keygen.
- Double appel à la fonction free() lors de la gestion des erreurs dans l'utilitaire ssh-keysign.
Les principaux changements:
- La directive RequiredRSASize a été ajoutée à ssh et sshd, vous permettant de déterminer la taille minimale autorisée des clés RSA. Dans sshd, les clés plus petites seront ignorées et dans ssh, elles entraîneront la fin de la connexion.
- L'édition portable d'OpenSSH a été convertie pour utiliser des clés SSH pour signer numériquement les commits et les balises dans Git.
- Les directives SetEnv dans les fichiers de configuration ssh_config et sshd_config appliquent désormais la valeur de la première mention de la variable d'environnement si elle est définie plus d'une fois dans la configuration (auparavant, la dernière mention était appliquée).
- Lors de l'appel de l'utilitaire ssh-keygen avec l'indicateur « -A » (générant tous les types de clés d'hôte pris en charge par défaut), la génération des clés DSA, qui n'ont pas été utilisées par défaut depuis plusieurs années, est désactivée.
- sftp-server et sftp implémentent l'extension "[email protected]", donnant au client la possibilité de demander des noms d'utilisateurs et de groupes correspondant à un ensemble spécifié d'identifiants numériques (uid et gid). En sftp, cette extension est utilisée pour afficher les noms lors de l'affichage du contenu d'un répertoire.
- sftp-server implémente l'extension « home-directory » pour étendre les chemins ~/ et ~user/, une alternative à l'extension proposée précédemment «[email protected]"(l'extension "home-directory" est proposée pour la standardisation et est déjà supportée par certains clients).
- ssh-keygen et sshd ajoutent la possibilité de spécifier l'heure dans le fuseau horaire UTC lors de la détermination des intervalles de validité des certificats et des clés, en plus de l'heure du système.
- sftp permet de spécifier des arguments supplémentaires avec l'option "-D" (par exemple, "/usr/libexec/sftp-server -el debug3").
- ssh-keygen permet l'utilisation de l'indicateur "-U" (utilisez ssh-agent) ainsi que des opérations "-Y sign" pour déterminer que les clés privées sont hébergées par ssh-agent.
Source: opennet.ru