Objavljen je OpenSSH 9.6, otvorena implementacija klijenta i servera za rad putem SSH 2.0 i SFTP protokola. U novoj verziji otklonjena su tri sigurnosna problema:
- Ranljivost u SSH protokolu (CVE-2023-48795, napad 'Terrapin'), koja omogućava u toku MITM napada da se veza vrati na korištenje manje zaštićenih algoritama autentifikacije i onemogući zaštitu od napada putem sporednih kanala koji rekreiraju unos analizom kašnjenja između pritisaka na tipke na tastaturi. Metoda napada je opisana u posebnoj vijesti.
- Ranljivost u ssh alatu, koja omogućava substituciju proizvoljnih shell komandi putem manipulacije vrijednostima korisničkog imena i hosta koje sadrže specijalne simbole. Ranljivost može biti iskorištena ukoliko napadač kontrolira vrijednosti korisničkog imena i imena hosta koji se proslijeđuju u ssh, ProxyCommand i LocalCommand direktive ili 'match exec' blokove, u kojima su navedeni simboli substitucije poput %u i %h. Na primjer, neispravni korisnički identitet i host mogu biti substituisani u sistemima koji koriste submodule u Gitu, budući da Git ne zabranjuje korištenje specijalnih simbola u imenu hosta i korisnika. Slična ranljivost se takođe javlja u libssh.
- Greška u ssh-agentu, zbog koje su se pri dodavanju privatnih ključeva PKCS#11, ograničenja primjenjivala samo na prvi ključ koji je vratio PKCS#11 token. Problem se ne odnosi na obične privatne ključeve, FIDO tokene i ključeve bez ograničenja.
Ostale promjene:
- U ssh je dodana substitucija '%j', koja se razdvaja na ime hosta navedeno putem ProxyJump direktive.
- U ssh je dodana podrška za postavljanje ChannelTimeout sa strane klijenta, koja se može koristiti za zatvaranje neaktivnih kanala.
- U ssh, sshd, ssh-add i ssh-keygen dodana je podrška za čitanje privatnih ED25519 ključeva u PEM PKCS8 formatu (prije je bio podržan samo OpenSSH format).
- U ssh i sshd dodana su proširenja protokola za ponovnu pregovaranje algoritama digitalnog potpisa za autentifikaciju putem otvorenih ključeva, koja se izvršavaju u fazi nakon što se dobiju podaci o korisničkom imenu. Na primjer, pomoću proširenja mogu se selektivno koristiti drugi algoritmi vezani za korisnike putem navođenja PubkeyAcceptedAlgorithms u 'Match user' bloku.
- U ssh-add i ssh-agent dodan je dodatak protokolu za dodavanje certifikata pri učitavanju PKCS#11 ključeva, što omogućava korištenje certifikata povezanih s privatnim PKCS#11 ključevima u svim OpenSSH alatima koji podržavaju ssh-agent, a ne samo u ssh-u.
- Poboljšano je prepoznavanje nepodržanih ili nestabilnih opcija prevoditelja, poput „-fzero-call-used-regs” u clang-u.
- Kako bi se ograničila prava procesa sshd u verzijama OpenSolaris koje podržavaju sučelje getpflags(), aktiviran je način PRIV_XPOLICY umjesto PRIV_LIMIT.
Izvor: opennet.ru
