Despois de seis meses de desenvolvemento, publicouse o lanzamento de OpenSSH 9.1, unha implementación aberta dun cliente e servidor para traballar sobre os protocolos SSH 2.0 e SFTP. A versión caracterízase por conter principalmente correccións de erros, incluíndo varias posibles vulnerabilidades causadas por problemas de memoria:
- Desbordamento dun só byte no código de procesamento do banner SSH na utilidade ssh-keyscan.
- Dobre chamada á función free() en caso de erro ao calcular hash para ficheiros no código para crear e verificar sinaturas dixitais na utilidade ssh-keygen.
- Chamada dobre á función free() cando se manexan erros na utilidade ssh-keysign.
Principais cambios:
- A directiva RequiredRSASize engadiuse a ssh e sshd, o que lle permite determinar o tamaño mínimo permitido das claves RSA. En sshd, ignoraranse as claves máis pequenas, e en ssh provocarán a finalización da conexión.
- A edición portátil de OpenSSH converteuse para usar claves SSH para asinar dixitalmente as confirmacións e as etiquetas en Git.
- As directivas SetEnv dos ficheiros de configuración ssh_config e sshd_config agora aplican o valor da primeira mención da variable de ambiente se se define máis dunha vez na configuración (anteriormente aplicouse a última mención).
- Ao chamar á utilidade ssh-keygen coa marca "-A" (xerando todos os tipos de claves de host admitidas por defecto), desactivarase a xeración de claves DSA, que non se usan por defecto durante varios anos.
- sftp-server e sftp implementan a extensión "[protexido por correo electrónico]", dándolle ao cliente a posibilidade de solicitar nomes de usuarios e grupos correspondentes a un conxunto especificado de identificadores dixitais (uid e gid). En sftp, esta extensión úsase para mostrar os nomes cando se mostra o contido dun directorio.
- sftp-server implementa a extensión "home-directory" para expandir as rutas ~/ e ~user/, unha alternativa á extensión proposta anteriormente "[protexido por correo electrónico]"(a extensión "home-directory" proponse para estandarizar e xa está soportada por algúns clientes).
- ssh-keygen e sshd engaden a posibilidade de especificar a hora na zona horaria UTC cando se determinan os intervalos de validez de certificado e clave, ademais da hora do sistema.
- sftp permite especificar argumentos adicionais coa opción "-D" (por exemplo, "/usr/libexec/sftp-server -el debug3").
- ssh-keygen permite o uso da marca "-U" (use ssh-agent) xunto coas operacións "-Y sign" para determinar que as chaves privadas están aloxadas por ssh-agent.
Fonte: opennet.ru