Hoʻokuʻu OpenSSH 8.3 me ka scp vulnerability fix

Ma hope o ʻekolu mahina o ka hoʻomohala ʻana hōʻike ʻia hoʻokuʻu OpenSSH 8.3, he mea kūʻai wehe a me ka hoʻokō kikowaena no ka hana ʻana ma o nā protocol SSH 2.0 a me SFTP.

Hoʻohui ka hoʻokuʻu hou i ka palekana mai ka hoʻouka ʻana i ka scp e ʻae i ka server e hoʻohele i nā inoa file ʻē aʻe ma mua o nā mea i noi ʻia (e kūʻē i ka pilikia i hala, ʻaʻole hiki i ka hoʻouka ke hoʻololi i ka papa kuhikuhi i koho ʻia e ka mea hoʻohana a i ʻole glob mask). E hoʻomanaʻo i ka SCP, hoʻoholo ke kikowaena i nā faila a me nā papa kuhikuhi e hoʻouna i ka mea kūʻai aku, a nānā wale ka mea kūʻai aku i ka pololei o nā inoa mea i hoʻihoʻi ʻia. ʻO ke kumu o ka pilikia i ʻike ʻia inā ʻaʻole i hāʻule ke kelepona ʻo utimes, a laila e unuhi ʻia nā mea o ka faila ma ke ʻano he metadata file.

ʻO kēia hiʻohiʻona, i ka wā e hoʻopili ai i kahi kikowaena i mālama ʻia e ka mea hoʻouka, hiki ke hoʻohana ʻia e mālama i nā inoa faila ʻē aʻe a me nā mea ʻē aʻe i ka FS o ka mea hoʻohana ke kope ʻana me ka hoʻohana ʻana i ka scp i nā hoʻonohonoho e alakaʻi i ka hemahema ke kāhea ʻana i nā utimes (no ka laʻana, ke pāpā ʻia nā utimes e. ke kulekele SELinux a i ʻole kānana kelepona ʻōnaehana) . Ua manaʻo ʻia he liʻiliʻi ka likelilike o nā hoʻouka maoli, no ka mea, ma nā hoʻonohonoho maʻamau ʻaʻole hāʻule ka utimes kelepona. Eia kekahi, ʻaʻole ʻike ʻia ka hoʻouka ʻana - i ke kāhea ʻana iā scp, hōʻike ʻia kahi hewa hoʻoili data.

Nā hoʻololi maʻamau:

• I ka sftp, ua hooki ʻia ka hana ʻana o ka hoʻopaʻapaʻa "-1", e like me ssh a me scp, i ʻae ʻia ma mua akā ʻaʻole i mālama ʻia;
• I ka sshd, i ka wā e hoʻohana ai iā IgnoreRhosts, aia i kēia manawa ʻekolu mau koho: "ʻae" - hoʻowahāwahā i nā rhosts / shosts, "no" - mahalo i nā rhosts / shosts, a me "shosts-only" - e ʻae iā ".shosts" akā hoʻopau i ".rhosts";
• Kākoʻo ʻo Ssh i kēia manawa i ka %TOKEN hoʻololi i nā hoʻonohonoho LocalFoward a me RemoteForward i hoʻohana ʻia e hoʻohuli hou i nā kumu Unix;
• E ʻae i ka hoʻouka ʻana i nā kī lehulehu mai kahi faila i hoʻopili ʻole ʻia me kahi kī pilikino inā ʻaʻohe faila ʻokoʻa me ke kī lehulehu;
• Inā loaʻa ka libcrypto i ka ʻōnaehana, ssh a me sshd i kēia manawa ke hoʻohana nei i ka hoʻokō ʻana i ka algorithm chacha20 mai kēia waihona, ma kahi o ka hoʻokō portable i kūkulu ʻia, e waiho ana ma hope o ka hana;
• Hoʻokō i ka hiki ke hoʻolei i nā mea o kahi papa inoa binary o nā palapala hōʻoia i hoʻopau ʻia i ka wā e hoʻokō ai i ke kauoha "ssh-keygen -lQf /path";
• Hoʻokomo ka mana lawe lima i nā wehewehe ʻana o nā ʻōnaehana kahi e hoʻopau ai nā hōʻailona me ke koho SA_RESTART i ka hana o ke koho;
• Hoʻoholo i nā pilikia me ka hui ʻana ma nā ʻōnaehana HP/UX a me AIX;
• Hoʻoponopono i nā pilikia me ke kūkulu ʻana i ka sandbox seccom ma kekahi mau hoʻonohonoho Linux;
• Hoʻomaikaʻi i ka ʻike ʻana o ka hale waihona puke libfido2 a hoʻoholo i nā pilikia kūkulu me ke koho "--with-security-key-builtin".

Ua ʻōlelo hou aku nā mea hoʻomohala OpenSSH e pili ana i ka decomposition e hiki mai ana o nā algorithms e hoʻohana ana i nā hashes SHA-1 ma muli o hoʻokiʻekiʻe ka maikaʻi o ka hoʻouka kaua ʻana me kahi prefix i hāʻawi ʻia (ʻo ke kumukūʻai o ke koho ʻana i kahi collision i manaʻo ʻia ma kahi o 45 tausani kālā). Ma kekahi o nā hoʻokuʻu e hiki mai ana, hoʻolālā lākou e hoʻopau i ka hiki ke hoʻohana i ke kī kī kīwī algorithm algorithm "ssh-rsa", i ʻōlelo ʻia ma ka RFC kumu no ka protocol SSH a hoʻomau i ka hoʻomaʻamaʻa (e hoʻāʻo i ka hoʻohana. o ssh-rsa i kāu mau ʻōnaehana, hiki iā ʻoe ke hoʻāʻo e hoʻopili ma o ssh me ke koho "-oHostKeyAlgorithms=-ssh-rsa").

No ka hoʻomaʻamaʻa ʻana i ka hoʻololi ʻana i nā algorithms hou ma OpenSSH, i ka wā e hiki mai ana e hoʻohana ʻia ka hoʻonohonoho UpdateHostKeys ma ke ʻano paʻamau, kahi e neʻe ai i nā mea kūʻai aku i nā algorithm ʻoi aku ka hilinaʻi. ʻO nā algorithm i manaʻo ʻia no ka neʻe ʻana me rsa-sha2-256/512 e pili ana i ka RFC8332 RSA SHA-2 (kākoʻo ʻia mai OpenSSH 7.2 a hoʻohana ʻia e ka paʻamau), ssh-ed25519 (kākoʻo ʻia mai OpenSSH 6.5) a me ecdsa-sha2-nistp256/384/521. ma RFC5656 ECDSA (kākoʻo ʻia mai OpenSSH 5.7).

E like me ka hoʻokuʻu hope ʻana, ua wehe ʻia ka "ssh-rsa" a me "diffie-hellman-group14-sha1" mai ka papa inoa CASignatureAlgorithms e wehewehe ana i nā algorithms i ʻae ʻia e hoʻopaʻa inoa i nā palapala hōʻoia hou, ʻoiai ʻo ka hoʻohana ʻana iā SHA-1 i nā palapala hōʻoia he pilikia hou aʻe. ma muli o ka loaʻa ʻana o ka manawa palena ʻole o ka mea hoʻouka e ʻimi ai i ka hui ʻana no kahi palapala e kū nei, ʻoiai ʻo ka manawa o ka hoʻouka ʻana i nā kī hoʻokipa e kaupalena ʻia e ka manawa pili (LoginGraceTime).

Source: opennet.ru