Az OpenSSH 10.1 kiadása.

Megjelent az OpenSSH 10.1, a SSH 2.0 és SFTP protokollokhoz készült kliens és szerver nyílt forrású megvalósítása.

Főbb változások:

• A hibaelhárítással kapcsolatos probléma, amely lehetővé tette a támadó számára, hogy shell-parancsokat injektáljon a felhasználónév vagy URI speciális karaktereivel való manipulálás útján, amelyek végrehajthatók voltak egy ProxyCommand beállítással indított parancs futtatásakor, amely tartalmazta a "%u" kiegészítést. A probléma csak azokat a rendszereket érinti, amelyek lehetővé teszik a felhasználónevek vagy URI-k kiegészítését nem megbízható forrásból származó adatokkal SSH indítása közben.

  Az ilyen támadások blokkolása érdekében megtiltották a vezérlő karakterek használatát a felhasználónévben, amelyeket parancssorból indításkor adtak meg, vagy a %-szekvenciákon keresztül beállítottak. A null karakter („\0”) használata SSH URI-kban sem megengedett. Kivételt képeznek azok a nevek, amelyek a konfigurációs fájlban lettek megadva (feltételezzük, hogy ezek a konfigurációs fájlok megbízhatók).
• A ssh és ssh-agent segédprogramokhoz hozzáadódott az ed25519 kulcsok támogatása, amelyek PKCS#11 tokenekben tárolhatók.
• Az ssh_config konfigurációs fájlhoz hozzáadták a RefuseConnection beállítást, amelynek feldolgozása során az aktív szakaszban a folyamat leállítása hibaüzenet kinyomtatásával történik, megkísérlés nélkül a kapcsolat létrehozására. Match host foo RefuseConnection "a foo hoszt már nem használható, csatlakozzon a bar hoszthoz"
• A ssh és sshd számára hozzáadták a SIGINFO jelkezelőket, amelyek a naplóba írják a munkamenet és az aktív csatorna információit.
• A sshd -ben a felhasználó tanúsítvány általi hitelesítésekor a hibaelhárítás logba történő kimenetének biztosítása érdekében nemcsak a belépés letiltásának okát, hanem a problémás tanúsítvány azonosításához szükséges részletes információkat is rögzítette.
• A sshd-ben hozzáadódott az X11 megjelenítési szám ellenőrzése az X11DisplayOffset direktíva által megadott eltolás szempontjából.
• A unit-tesztelési készletbe hozzáadták a teljesítménymérési lehetőségeket, amelyeket az OpenBSD -ban a „make UNITTEST_BENCHMARK=yes” futtatásakor vagy más rendszerekben a „make unit-bench” parancs kiadásakor aktiválnak.

Változások, amelyek potenciálisan visszafelé kompatibilitási problémákat okozhatnak:

• Az ssh-hez figyelmeztetés került bevezetésre, amely megjelenik, amikor a kvantumszámítógépek ellenállásának nem megfelelő kulcsmegegyezési algoritmusok használatakor csatlakozás történik. A figyelmeztetést a jövőbeli támadások kockázata miatt adták hozzá, amelyek korábban rögzített forgalmi mentések felhasználásával valósulhatnak meg. A figyelmeztetés letiltásához az ssh_config fájlba hozzáadták a WarnWeakCrypto opciót. Match host unsafe.example.com WarnWeakCrypto no
• Az ssh és az sshd jelentősen módosították a DSCP (IPQoS) szolgáltatásminőségi paraméterek kezelését. Az interaktív forgalom számára mostantól alapértelmezetten az EF (Expedited Forwarding) osztályt állítják be a prioritásosabb feldolgozás érdekében vezetéknélküli hálózatokban. A nem interaktív forgalom esetén az operációs rendszerben gyakran használt osztály kerül beállításra. A forgalmi osztály az IPQoS ssh_config és sshd_config beállításával módosítható. Az IPv4 ToS (type-of-service) paraméterei az IPQoS direktívában elavultnak minősülnek (a ToS-t a DSCP váltotta fel).
• Az ssh-add-nél a kulcsüzenet ssh-agentbe történő hozzáadásakor megvalósították a kulcs életidejének beállítását, amely 5 perccel a kulcs lejárati ideje utánra állítódik be (az elavult kulcs automatikus eltávolítása érdekében). E viselkedés letiltásához az ssh-add parancsba hozzáadták az „-N” opciót.
• Eltávolították az XMSS kulcsok támogatását, amelyet kísérleti státuszra minősítettek, és soha nem volt alapértelmezett beállítva.
• Az ssh-agent és az sshd folyamatok által létrehozott Unix-socketek a /tmp könyvtárból a ~/.ssh/agent könyvtárba kerültek át, ami biztosítja, hogy a fájlrendszerhez korlátozott hozzáférésű izolált folyamatok ne férhessenek hozzá ezekhez a socketekhez, miközben a /tmp-hez hozzáférésük nyitva áll.

A jövőbeni kiadásokban a SHA1 SSHFP DNS-bejegyzések elavultnak lesznek nyilvánítva a SHA1 hashelési függvény megbízhatatlanságai miatt. Ezeket a bejegyzéseket figyelmen kívül hagyják, és az „ssh-keygen -r” parancs csak SHA256 SSHFP bejegyzéseket fog generálni.

Forrás: opennet.ru