Izdanje OpenSSH 10.6 s ispravkom ranjivosti

Objavljen je OpenSSH 10.6, otvorena implementacija klijenta i poslužitelja za rad s protokolima SSH 2.0 i SFTP. Ispravljeni su sigurnosni problemi, većina njih otkrivena je analizom koda uz pomoć AI alata (CVE identifikatori nisu dodijeljeni):

• Ranljivost u sftp omogućava zapisivanje datoteke izvan ciljanog direktorija prilikom povezivanja s poslužiteljem pod kontrolom zlonamjernika.
• Dve ranjivosti u implementaciji GSSAPI u sshd, uzrokovane očuvanjem stanja između različitih pokušaja autentifikacije. GSSAPI korisnički podaci mogli su se očuvati nakon neuspjelog pokušaja autentifikacije i koristiti nakon sljedećeg uspješnog pokušaja autentifikacije. Problemi se javljaju kada je omogućena opcija GSSAPIAuthentication.
• U sshd i ssh isključena je podrška za LZ77 kompresiju zbog mogućnosti provođenja napada putem bočnih kanala, što omogućava obnavljanje sadržaja iz druge sesije prilikom povezivanja putem zajedničke multiplexirane veze s žrtvom, koristeći kontrolirane zlonamjernike ulaze koji utječu na ukupnu duljinu prenesenih šifriranih poruka (LZ77 zamjenjuje ponavljajuće retke sa referencama u zajedničkom baferu za sve kanale).
• U ssh alatu zabranjeno je korištenje simbola ‘$’ i ‘\’ u imenima korisnika unesenim u naredbeni redak, jer su se njih mogli koristiti za izvršavanje koda prilikom zamjene imena u ProxyCommand i Match exec direktivama navedenim u postavkama.
• U ssh-keygen ispravljena je nepravilna obrada ljetnog vremena, koja je dovela do pomaka trajanja certifikata za 1 sat.
• S ciljem sprečavanja stvaranja zip bombi u sshd i ssh, dodana je provjera premašuje li maksimalna veličina paketa prilikom raspakiravanja podataka.
• U sshd riješen je problem koji je omogućavao zaobilaženje ograničenja ključne riječi ‘restrict’ u datoteci authorized_keys, koja nije bila primjenjiva na tunele (PermitTunnel).
• U sshd ispravljena je nepravilna analiza opcije ‘none’ unutar Match blokova, koja se u nekim direktivama, poput AuthorizedPrincipalsFile, tumačila kao ime datoteke, a ne kao oznaka za isključivanje direktive.
• U sshd ispravljena je odsutnost resetiranja root privilegija na platformama koje ne podržavaju prijenos datotečnih deskripcija i zahtijevaju root privilegije za dodjelu PTY. Problem se pojavljuje na QNX 6, SCO OpenServer 5 i prilikom izrade s opcijom ‘—disable-fd-passing’.

Ne vezani za ranjivosti izmjene:

• Podržana je hibridna kriptografska algoritamska ssh-mldsa44-ed25519, otporna na napade kvantnih računala.
• U sshd_config implementirana je i prema zadanim postavkama uključena opcija WarnWeakCrypto za upravljanje ispravama upozorenja o uspostavi veze korištenjem algoritama dogovora ključeva koji nisu otporni na napade kvantnim računalima.
• U ssh-keygen i ssh-add implementirana je provjera politike credProtect u podacima za pristup kako bi se ispunili zahtjevi provjere (PIN ili biometrika) prije pristupa rezidentnim ključevima na FIDO tokenima.
• U ssh-add dodana je zastavica ‘-P’ za preskakanje neobaveznog unošenja PIN-a za FIDO i PKCS#11 tokene.
• U ssh, u naredbi ~I implementirano je ispisivanje informacija o verzijama na lokalnim i udaljenim sustavima.
• U sftp u naredbe mkdir/lmkdir dodana je zastavica ‘-p’ za kreiranje direktorija kada je to potrebno.
• U ssh-keygen dodan je način ‘hexdump’ za izvoz ključeva u obliku heksadecimalnih ispisivanja (na primjer, za umetanje u dokumentaciju).
• U ssh i sshd, u direktivi ChannelTimeout omogućeno je specificiranje vremenskih ograničenja s točnošću do dijelova sekunde.
• U sshd dodana je opcija AgentSocketPath za specificiranje puta do $SSH_AUTH_SOCK prilikom propuštanja agenta (na primjer, user:.ssh/agent za poddirektorije u $HOME i shared:/tmp za zajedničke direktorije).
• U ssh-agent dodana je zastavica ‘-A’ za specificiranje direktorija sa socketima agenta u kojem su dozvoljeni prefiksi ‘user:’ i ‘shared:’ kao u opciji AgentSocketPath.
• U sshd, provjera otvorenih ključeva odvojena je od pokušaja autentifikacije. Dodana je opcija ‘PubkeyOptions max-pk-ok:nnnn’ za podešavanje broja pokušaja provjere otvorenih ključeva (po zadanom 6), nakon kojih će veza biti prekinuta zbog ograničenja MaxAuthTries.
• U ssh i sshd, u opciji TCPKeepAlive dodana je podrška za vrijednost ‘all’, koja uključuje slanje keepalive paketa ne samo za glavnu vezu, već i za veze propuštene kroz nju.

Izvor: opennet.ru