{"id":107307,"date":"2023-03-16T12:48:10","date_gmt":"2023-03-16T10:48:10","guid":{"rendered":"https:\/\/prohoster.info\/?p=107307"},"modified":"2023-03-17T13:35:25","modified_gmt":"2023-03-17T11:35:25","slug":"obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","title":{"rendered":"Mise \u00e0 jour OpenSSH 9.3 corrigeant des probl\u00e8mes de s\u00e9curit\u00e9","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La version OpenSSH 9.3, une mise en \u0153uvre open source du client et du serveur pour le protocole SSH 2.0 et SFTP, a \u00e9t\u00e9 publi\u00e9e. La nouvelle version corrige des probl\u00e8mes de s\u00e9curit\u00e9 : <\/p>\n
\n
Un bogue logique a \u00e9t\u00e9 identifi\u00e9 dans l'utilitaire ssh-add, emp\u00eachant la transmission des restrictions d\u00e9finies lors de l'ajout de cl\u00e9s pour cartes \u00e0 puce \u00e0 l'agent ssh-agent via l'option \u00ab ssh-add -h \u00bb. Par cons\u00e9quent, une cl\u00e9 \u00e9tait ajout\u00e9e \u00e0 l'agent sans que les restrictions permettant uniquement les connexions depuis certains h\u00f4tes ne soient appliqu\u00e9es.\n
Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte dans l'utilitaire ssh, pouvant entra\u00eener la lecture de donn\u00e9es depuis la zone de pile en dehors du buffer allou\u00e9 lorsqu'il traite des r\u00e9ponses DNS sp\u00e9cialement format\u00e9es, si l'option VerifyHostKeyDNS est activ\u00e9e dans le fichier de configuration. Ce probl\u00e8me est pr\u00e9sent dans l'impl\u00e9mentation int\u00e9gr\u00e9e de la fonction getrrsetbyname(), utilis\u00e9e dans les versions portables d'OpenSSH compil\u00e9es sans utiliser la biblioth\u00e8que externe ldns (\u2014with-ldns) et sur des syst\u00e8mes avec des biblioth\u00e8ques standards ne supportant pas l'appel de getrrsetbyname(). La possibilit\u00e9 d'exploiter cette vuln\u00e9rabilit\u00e9, en dehors de l'initiation d'un d\u00e9ni de service pour le client ssh, est jug\u00e9e peu probable. <\/ul>\n
On peut \u00e9galement noter une vuln\u00e9rabilit\u00e9 dans la biblioth\u00e8que libskey, incluse dans OpenBSD, utilis\u00e9e par OpenSSH. Ce probl\u00e8me existe depuis 1997 et peut entra\u00eener un d\u00e9bordement de buffer dans la pile lors du traitement de noms d'h\u00f4tes sp\u00e9cialement format\u00e9s. Il est \u00e0 noter que bien que l'exploitation de cette vuln\u00e9rabilit\u00e9 puisse \u00eatre initi\u00e9e \u00e0 distance via OpenSSH, dans la pratique, elle est inutile car pour qu'elle se manifeste, le nom de l'h\u00f4te attaqu\u00e9 (\/etc\/hostname) doit contenir plus de 126 caract\u00e8res, et le buffer ne peut \u00eatre d\u00e9bord\u00e9 qu'avec des caract\u00e8res de code nul ('\\0'). <\/p>\n
Parmi les modifications non li\u00e9es \u00e0 la s\u00e9curit\u00e9 : <\/p>\n
\n
Dans ssh-keygen et ssh-keyscan, le support de l'option \u00ab -Ohashalg=sha1|sha256 \u00bb a \u00e9t\u00e9 ajout\u00e9 pour choisir l'algorithme d'affichage des empreintes SSHFP.\n
Dans sshd, une option \u00ab -G \u00bb a \u00e9t\u00e9 ajout\u00e9e pour analyser et afficher la configuration active sans tenter de charger des cl\u00e9s priv\u00e9es et sans effectuer de v\u00e9rifications suppl\u00e9mentaires, permettant ainsi de v\u00e9rifier la configuration avant la g\u00e9n\u00e9ration des cl\u00e9s et de permettre la v\u00e9rification par des utilisateurs non privil\u00e9gi\u00e9s.\n
Dans sshd, l'isolation sur la plateforme Linux a \u00e9t\u00e9 renforc\u00e9e en utilisant des m\u00e9canismes de filtrage d'appels syst\u00e8me seccomp et seccomp-bpf. Des flags pour mmap, madvise et futex ont \u00e9t\u00e9 ajout\u00e9s \u00e0 la liste des appels syst\u00e8me autoris\u00e9s. <\/ul>\n