{"id":144216,"date":"2025-10-06T17:11:54","date_gmt":"2025-10-06T15:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-10-1"},"modified":"2025-10-06T17:11:54","modified_gmt":"2025-10-06T15:11:54","slug":"reliz-openssh-10-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/reliz-openssh-10-1","title":{"rendered":"Sortie de OpenSSH 10.1.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La version 10.1 d'OpenSSH, une impl\u00e9mentation ouverte du client et du serveur pour le fonctionnement sur les protocoles SSH 2.0 et SFTP, a \u00e9t\u00e9 publi\u00e9e. <\/p>\n
Principales modifications : <\/p>\n
\n
Un probl\u00e8me de s\u00e9curit\u00e9 a \u00e9t\u00e9 corrig\u00e9, permettant \u00e0 un attaquant d'injecter des commandes shell via des manipulations de caract\u00e8res sp\u00e9ciaux dans le nom d'utilisateur ou l'URI, qui pouvaient \u00eatre ex\u00e9cut\u00e9es lors de l'ex\u00e9cution d'une commande sp\u00e9cifi\u00e9e via le param\u00e8tre «ProxyCommand» et contenant le substitut «%u». Le probl\u00e8me concerne uniquement les syst\u00e8mes autorisant le remplacement des noms d'utilisateur ou URI provenant de sources non fiables lors de l'initialisation de ssh.\n
Pour bloquer de telles attaques, l'utilisation de caract\u00e8res de contr\u00f4le dans les noms d'utilisateur sp\u00e9cifi\u00e9s lors de l'ex\u00e9cution en ligne de commande ou substitu\u00e9s dans les param\u00e8tres via des s\u00e9quences %- est interdite. L'utilisation du caract\u00e8re nul («\0») dans l'URI ssh:\/\/ est \u00e9galement prohib\u00e9e. Une exception a \u00e9t\u00e9 faite uniquement pour les noms sp\u00e9cifi\u00e9s dans le fichier de configuration (on suppose que ces donn\u00e9es sont fiables). <\/p>\n
Les utilitaires ssh et ssh-agent ont \u00e9t\u00e9 mis \u00e0 jour pour prendre en charge les cl\u00e9s ed25519 stock\u00e9es dans des tokens PKCS#11.\n
Une nouvelle option RefuseConnection a \u00e9t\u00e9 ajout\u00e9e au fichier de configuration ssh_config, qui termine le processus avec un message d'erreur sans tenter d'\u00e9tablir une connexion dans la section active. Match host foo RefuseConnection «L'h\u00f4te foo n'est plus utilis\u00e9, veuillez vous connecter \u00e0 l'h\u00f4te bar»\n
Des gestionnaires de signal SIGINFO ont \u00e9t\u00e9 ajout\u00e9s \u00e0 ssh et sshd pour enregistrer des informations sur la session et le canal actif dans le journal.\n
Dans sshd, en cas de refus d'authentification d'un utilisateur par certificat, il est maintenant consign\u00e9 non seulement la raison du blocage d'entr\u00e9e, mais aussi des informations d\u00e9taill\u00e9es pour identifier le certificat probl\u00e9matique.\n
Une v\u00e9rification du num\u00e9ro d'affichage X11 a \u00e9t\u00e9 ajout\u00e9e dans sshd, par rapport au d\u00e9calage sp\u00e9cifi\u00e9 dans la directive X11DisplayOffset.\n
Les tests unitaires ont \u00e9t\u00e9 am\u00e9lior\u00e9s avec des fonctionnalit\u00e9s de mesure de performance, activ\u00e9es en lan\u00e7ant «make UNITTEST_BENCHMARK=yes» sur OpenBSD ou «make unit-bench» sur d'autres syst\u00e8mes. <\/ul>\n
Modifications susceptibles de compromettre la compatibilit\u00e9 descendante : <\/p>\n
\n
Dans ssh, un avertissement a \u00e9t\u00e9 ajout\u00e9 lors de l'\u00e9tablissement d'une connexion avec un algorithme de n\u00e9gociation de cl\u00e9 non r\u00e9sistant aux attaques sur un ordinateur quantique. Cet avertissement a \u00e9t\u00e9 ajout\u00e9 en raison du risque d'attaques futures utilisant des dumps de trafic pr\u00e9c\u00e9demment sauvegard\u00e9s. Pour d\u00e9sactiver cet avertissement, l'option WarnWeakCrypto a \u00e9t\u00e9 ajout\u00e9e dans ssh_config. Match host unsafe.example.com WarnWeakCrypto no\n
Dans ssh et sshd, le traitement des param\u00e8tres de qualit\u00e9 de service DSCP (IPQoS) a \u00e9t\u00e9 consid\u00e9rablement modifi\u00e9. Pour le trafic interactif, la classe EF (Expedited Forwarding) est d\u00e9sormais d\u00e9finie par d\u00e9faut pour un traitement prioritaire dans les r\u00e9seaux sans fil. Pour le trafic non interactif, la classe par d\u00e9faut utilis\u00e9e dans le syst\u00e8me d'exploitation est appliqu\u00e9e. La classe de trafic peut \u00eatre modifi\u00e9e par la configuration IPQoS dans ssh_config et sshd_config. Les param\u00e8tres ToS (type-of-service) pour IPv4 dans la directive IPQoS sont d\u00e9clar\u00e9s obsol\u00e8tes (DSCP remplace ToS).\n
Dans ssh-add, lors de l'ajout d'un certificat \u00e0 l'agent ssh, la dur\u00e9e de vie du certificat est d\u00e9sormais fix\u00e9e \u00e0 5 minutes de plus que sa dur\u00e9e de validit\u00e9 (pour une suppression automatique du certificat expir\u00e9). Pour d\u00e9sactiver ce comportement dans ssh-add, une option «-N» a \u00e9t\u00e9 ajout\u00e9e.\n
Le support pour les cl\u00e9s XMSS, qui \u00e9taient qualifi\u00e9es d'exp\u00e9rimentales et n'ont jamais \u00e9t\u00e9 activ\u00e9es par d\u00e9faut, a \u00e9t\u00e9 supprim\u00e9.\n
Les sockets Unix cr\u00e9\u00e9s par les processus ssh-agent et sshd ont \u00e9t\u00e9 d\u00e9plac\u00e9s du r\u00e9pertoire \/tmp \u00e0 ~\/ .ssh \/ agent, garantissant qu'il est impossible d'acc\u00e9der \u00e0 ces sockets depuis des processus isol\u00e9s ayant un acc\u00e8s limit\u00e9 au syst\u00e8me de fichiers mais un acc\u00e8s ouvert \u00e0 \/tmp. <\/ul>\n