Nakon tri mjeseca razvoja, objavljen je OpenSSH 10.4, otvorena implementacija klijenta i servera za rad s protokolima SSH 2.0 i SFTP. Glavne promjene:
- Dodana je eksperimentalna podrška za kombiniranu shemu generiranja digitalnih potpisa „mldsa44-ed25519“, koja kombinira postkvantni algoritam ML-DSA 44 i algoritam temeljen na eliptičnim krivuljama Ed25519. Da biste uključili podršku, dodajte „mldsa44-ed25519“ u direktive HostKeyAlgorithms i PubkeyAcceptedAlgorithms. Za generiranje ključeva možete koristiti naredbu „ssh-keygen -t mldsa44-ed25519.“
- U ssh i sshd korištena je nova implementacija sustava usklađivanja prema predlošku, temeljenog na nedeterminističkom konačnom automatu i ne podložnog problemu eksponencijalnog rasta složenosti proračuna prilikom korištenja maski koje sadrže mnogo simbola „*“.
- Promijenjeno je ponašanje Linux verzija sshd sa uključenom filtracijom sistemskih poziva pomoću seccomp-a. Ranije, kvar prilikom aktivacije SECCOMP ili NO_NEW_PRIVS na Linux sustavima bez njihove podrške dovodio je do zapisivanja upozorenja u dnevnik i nastavka rada bez izolacije, a sada će dovesti do prekida rada.
- Pri korištenju opcije „sshd -G“ u ispisu konfiguracije direktive sada se zapisuje koristeći velika i mala slova, umjesto zapisivanja samo malim slovima (tj. „PubkeyAuthentication“ umjesto „pubkeyauthentication“).
- Ponašanje ssh i sshd usklađeno je sa standardom RFC 4253: slanje tijekom ponovnog razmjene ključeva poruka koji nisu povezani s razmjenom ključeva sada će dovesti do prekida veze. Ranije su napadači mogli izvesti DoS napad neprekidno šaljući tijekom razmjene ključeva vanjske poruke koje su se pohranjivale u serveru i trošile memoriju.
Ispravljeno je nekoliko sigurnosnih problema:
- U alatu ssh ispravljena je potencijalna upotreba memorije nakon njenog oslobađanja (use-after-free) pri pristupu zlonamjernom poslužitelju. Problem se iskorištava putem promjene host ključ tijekom ponovnog razmjene ključeva.
- Ranljivost u sftp omogućava učitavanje datoteke u drugi direktorij kada se pristupa zlonamjernom serveru koristeći naredbu u obliku „sftp host:/path .“.
- Ranljivost u scp omogućava prilikom kopiranja datoteka između dva vanjska poslužiteljima, jedan od kojih je pod kontrolom napadača, organizirati zapisivanje datoteka u nadređenu direktoriju, koja se nalazi jedan nivo ispod ciljne direktorije.
- Otklonjen je problem u sshd-u, koji se manifestira pri korištenju interne implementacije SFTP-poslužitelja ("internal-sftp"), koja je prema defaultu isključena. Problem je povezan s skraćivanjem dugih nizova u naredbenom retku nakon 9 argumenata, što dovodi do odbacivanja sljedećih argumenata. Na taj način potencijalno mogu biti odbijene opcije povezane s osiguranjem.
- U sshd-u je otklonjeno nedostatak koji je omogućavao da direktiva "DisableForwarding=yes" ne onemogućava mogućnost stvaranja tunela, dopuštenih opcijom "PermitTunnel=yes" (koja nije postavljena prema zadanim postavkama).
- U sshd-u je otklonjen problem koji se mogao koristiti za iniciranje napada uskraćivanja usluge u fazi prije autentifikacije kada je omogućena direktiva GSSAPIAuthentication u postavkama (koja je prema defaultu isključena). Problem se ne blokira putem limita "MaxAuthTries", ali spada pod djelovanje ograničenja "PerSourcePenalties".
- U sshd-u su otklonjeni nedostaci zbog kojih nije uvijek dodavana minimalna odgoda između pokušaja autentifikacije.
Izvor: opennet.ru
