Nakon pola godine razvoja objavljen je OpenSSH 10.3, otvorena implementacija klijenta i poslužitelja za rad putem SSH 2.0 i SFTP protokola. Glavne promjene:
- Ispravljena je ranjivost koja omogućava napadaču, koji kontrolira korisničko ime preneseno prilikom pokretanja ssh alata, potencijalno izvršavanje proizvoljnih shell komandi. Ranjivost se pojavljuje u sustavima koji koriste zamjenu „%u“ u nekim direktivama konfiguracijske datoteke, poput „Match exec“. Problem je uzrokovan provjerom posebnih znakova u korisničkom imenu nakon izvršenja %-zamjena u ssh_config konfiguracijskoj datoteci.
- Ispravljena je sigurnosna greška u sshd koja je uzrokovana neispravnim usklađivanjem opcije authorized_keys principals=„“ s popisom imena (principal) u certifikatu u situaciji kada u imenima postoji znak „,“. Za iskorištavanje ranjivosti potrebno je da u opciji authorized_keys principals=„“ budu navedena višestruka imena te da je certifikacijski ured izdao certifikat s više imena, odvojenim zarezom (to obično nije dopušteno). Promijenjeno je ponašanje u vezi s certifikatima s praznim imenom — ranije se prazno ime podudaralo sa svim opcijama authorized_keys principals=„“, a sada se ne podudara.
- U scp-u je ispravljen problem zbog kojeg se nakon prijenosa datoteke s root pravima koristeći opciju „-O” i bez opcije „-p” nisu uklanjali setuid/setgid flagovi.
- U sshd-u je ispravljen problem s obradom ECDSA ključeva u direktivama PubkeyAcceptedAlgorithms i HostbasedAcceptedAlgorithms, zbog kojeg su se, kada je naveden bilo koji ECDSA algoritam (npr. „ecdsa-sha2-nistp384”), počeli prihvaćati i svi drugi algoritmi temeljeni na ECDSA, čak i ako izričito nisu navedeni na popisu dozvoljenih.
- U ssh i sshd dodana je podrška za identifikatore (codepoint) definirane od strane IANA u specifikaciji draft-ietf-sshm-ssh-agent prilikom interakcije s SSH agentima. Podrška za prethodno korištene identifikatore poput „@openssh.com” je sačuvana.
- U ssh-agentu je implementirano proširenje „query”, definirano u specifikaciji draft-ietf-sshm-ssh-agent koje omogućava određivanje funkcija podržanih od strane agenta. Da bi se zatražio popis podržanih proširenja protokola putem „query” zahtjeva, u ssh-add alatu je dodana opcija „-Q”.
- U sshd_config omogućeno je navođenje višestrukih datoteka u direktivi RevokedKeys, a u ssh_config — u direktivi RevokedHostKeys.
- U ssh dodana je escape naredba «~I» i opcija «-O conninfo» za prikaz informacija o trenutnoj vezi, kao i opcija «-O channels» za prikaz informacija o otvorenim kanalima.
- U sshd direktivi PerSourcePenalties implementirana je opcija 'invaliduser' za dodavanje kašnjenja u slučaju pokušaja prijave pod nepostojećim korisnikom (po zadanim postavkama 5 sekundi). Dodana je mogućnost navođenja ne cijelih vrijednosti kašnjenja.
- U sshd dodana je opcija GSSAPIDelegateCredentials za upravljanje prihvaćanjem delegiranih vjerodajnica koje je pružio klijent.
- U ssh-keygen dodana je podrška za zapisivanje ED25519 ključeva u PKCS8 formatu.
- Dodana je podrška za ed25519 shemu digitalnih potpisa, implementirana putem libcrypto.
Izvor: opennet.ru
