{"id":183658,"date":"2026-10-06T22:53:58","date_gmt":"2026-10-06T20:53:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-openssh-10-6-s-ustraneniem-uyazvimostej"},"modified":"2026-10-06T22:54:02","modified_gmt":"2026-10-06T20:54:02","slug":"openssh-10-6-released-with-vulnerability-fixes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/news\/openssh-10-6-released-with-vulnerability-fixes","title":{"rendered":"Izdanje OpenSSH 10.6 s ispravkom ranjivosti","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Objavljen je OpenSSH 10.6, otvorena implementacija klijenta i poslu\u017eitelja za rad s protokolima SSH 2.0 i SFTP. Ispravljeni su sigurnosni problemi, ve\u0107ina njih otkrivena je analizom koda uz pomo\u0107 AI alata (CVE identifikatori nisu dodijeljeni): <\/p>\n
\n
Ranljivost u sftp omogu\u0107ava zapisivanje datoteke izvan ciljanog direktorija prilikom povezivanja s poslu\u017eiteljem pod kontrolom zlonamjernika.\n
Dve ranjivosti u implementaciji GSSAPI u sshd, uzrokovane o\u010duvanjem stanja izme\u0111u razli\u010ditih poku\u0161aja autentifikacije. GSSAPI korisni\u010dki podaci mogli su se o\u010duvati nakon neuspjelog poku\u0161aja autentifikacije i koristiti nakon sljede\u0107eg uspje\u0161nog poku\u0161aja autentifikacije. Problemi se javljaju kada je omogu\u0107ena opcija GSSAPIAuthentication.\n
U sshd i ssh isklju\u010dena je podr\u0161ka za LZ77 kompresiju zbog mogu\u0107nosti provo\u0111enja napada putem bo\u010dnih kanala, \u0161to omogu\u0107ava obnavljanje sadr\u017eaja iz druge sesije prilikom povezivanja putem zajedni\u010dke multiplexirane veze s \u017ertvom, koriste\u0107i kontrolirane zlonamjernike ulaze koji utje\u010du na ukupnu duljinu prenesenih \u0161ifriranih poruka (LZ77 zamjenjuje ponavljaju\u0107e retke sa referencama u zajedni\u010dkom baferu za sve kanale).\n
U utilitarnom alatu ssh zabranjeno je kori\u0161tenje simbola '$' i '\\' u imenima korisnika unesenim u naredbenu liniju, jer se na taj na\u010din mogla organizirati izvr\u0161avanje koda prilikom zamjene imena u direktivama ProxyCommand i Match exec, navedenim u postavkama.\n
U ssh-keygen ispravljena je nepravilna obrada ljetnog vremena, koja je dovela do pomaka trajanja certifikata za 1 sat.\n
S ciljem spre\u010davanja stvaranja zip bombi u sshd i ssh, dodana je provjera prema\u0161uje li maksimalna veli\u010dina paketa prilikom raspakiravanja podataka.\n
U sshd je rije\u0161en problem koji je omogu\u0107io zaobila\u017eenje ograni\u010denja klju\u010dne rije\u010di \u201erestrict\u201c u datoteci authorized_keys koja se nije primjenjivala na tunele (PermitTunnel).\n
U sshd je uklonjena neispravna analiza opcije \u201enone\u201c unutar blokova Match, koja se u nekim direktivama, poput AuthorizedPrincipalsFile, tuma\u010dila kao ime datoteke, a ne kao indikator onemogu\u0107avanja direktive.\n
U sshd je uklonjena odsutnost poni\u0161tenja root privilegija na platformama koje ne podr\u017eavaju prijenos datote\u010dnih deskriptora i zahtijevaju root prava za dodjelu PTY. Problem se javlja na QNX 6, SCO OpenServer 5 i prilikom kompajliranja s opcijom \u201e--disable-fd-passing\u201c. <\/ul>\n
Ne vezani za ranjivosti izmjene: <\/p>\n
\n
Podr\u017eana je hibridna kriptografska algoritamska ssh-mldsa44-ed25519, otporna na napade kvantnih ra\u010dunala.\n
U sshd_config implementirana je i prema zadanim postavkama uklju\u010dena opcija WarnWeakCrypto za upravljanje ispravama upozorenja o uspostavi veze kori\u0161tenjem algoritama dogovora klju\u010deva koji nisu otporni na napade kvantnim ra\u010dunalima.\n
U ssh-keygen i ssh-add implementirana je provjera politike credProtect u podacima za pristup kako bi se ispunili zahtjevi provjere (PIN ili biometrika) prije pristupa rezidentnim klju\u010devima na FIDO tokenima.\n
U ssh-add je dodat znak \u201e-P\u201c za preskakanje neobaveznog unosa PIN-a za FIDO i PKCS#11 tokene.\n
U ssh, u naredbi ~I implementirano je ispisivanje informacija o verzijama na lokalnim i udaljenim sustavima.\n
U sftp, naredbama mkdir\/lmkdir je dodat znak '-p' za stvaranje direktorija po potrebi.\n
U ssh-keygen je dodan na\u010din \u201ehexdump\u201c za izvoz klju\u010deva u obliku heksadecimalnih dumpova (na primjer, za umetanje u dokumentaciju).\n
U ssh i sshd, u direktivi ChannelTimeout omogu\u0107eno je specificiranje vremenskih ograni\u010denja s to\u010dno\u0161\u0107u do dijelova sekunde.\n
U sshd dodana je opcija AgentSocketPath za specificiranje puta do $SSH_AUTH_SOCK prilikom propu\u0161tanja agenta (na primjer, user:.ssh\/agent za poddirektorije u $HOME i shared:\/tmp za zajedni\u010dke direktorije).\n
U ssh-agent je dodat znak \u201e-A\u201c za odre\u0111ivanje direktorija sa socketima agenta, u kojem je dopu\u0161teno navediti prefikse \u201euser:\u201c i \u201eshared:\u201c kao u opciji AgentSocketPath.\n
U sshd je provjera javnih klju\u010deva odvojena od poku\u0161aja autentifikacije. Dodana je opcija \u201ePubkeyOptions max-pk-ok:nnnn\u201c za postavljanje broja poku\u0161aja provjere javnih klju\u010deva (po zadanom 6), nakon kojih \u0107e se veza prekinuti zbog limita MaxAuthTries.\n
U ssh i sshd, u opciju TCPKeepAlive dodana je podr\u0161ka za vrijednost \u201eall\u201c, koja uklju\u010duje slanje keepalive paketa ne samo za glavnu vezu, ve\u0107 i za proslije\u0111ene veze. <\/ul>\n