Hat hónapnyi fejlesztés után megjelent az OpenSSH 10.3, az SSH 2.0 és SFTP protokollok kliensének nyílt forráskódú megvalósítása. a szerver Főbb változások:
- Kijavították a sebezhetőséget, amely lehetővé tette, hogy a támadó, aki a parancssorban adott felhasználónevet irányít, potenciálisan tetszőleges shell parancsok végrehajtására tegyen szert. A sebezhetőség azokban a rendszerekben jelentkezik, amelyek a 'Match exec' konfigurációs fájl néhány direktívájában a '%u' jelölőt használják. A probléma a felhasználónév speciális karaktereinek ellenőrzéséből ered, amelyet a ssh_config konfigurációs fájl %-helyettesítése után végeznek el.
- Kijavították a sshd-t érintő biztonsági problémát, amely az 'authorized_keys principals=»»' opció és a tanúsítványokban megadott nevekkel való helytelen párosításból adódott, amikor a nevek között a ',' karakter volt. A sebezhetőség kihasználásához szükséges, hogy az 'authorized_keys principals=»»' opcióban több név szerepeljen, és hogy a hitelesítő központ olyan tanúsítványt bocsásson ki, amely több nevet, vesszővel elválasztva tartalmaz. Megváltozott a viselkedés üres név esetén a tanúsítványokkal — korábban az üres név minden 'authorized_keys principals=»»' opcióra vonatkozott, most azonban nem vonatkozik.
- Az scp-ben kijavították azt a problémát, amely miatt a 'root' jogokkal rendelkező fájl feltöltésekor, az '-O' opció megadásával és a '-p' opció nélkül nem törlődtek a setuid/setgid flag-ek.
- A sshd-ben kijavították az ECDSA kulcsok kezelésével kapcsolatos problémát a PubkeyAcceptedAlgorithms és HostbasedAcceptedAlgorithms direktívákban, amely miatt bármely ECDSA algoritmus (például 'ecdsa-sha2-nistp384') megadása esetén minden más ECDSA alapú algoritmust is elfogadtak, még akkor is, ha kifejezetten nem szerepeltek az engedélyezett listában.
- A ssh és sshd a SSH ügynökökkel való interakció során hozzáadta a IANA által a draft-ietf-sshm-ssh-agent specifikációban meghatározott azonosítók (codepoint) támogatását. A korábban használt '@openssh.com' azonosítók támogatása megmaradt.
- A ssh-agentben megvalósították a 'query' kiterjesztést, amelyet a draft-ietf-sshm-ssh-agent specifikáció definiál, és lehetővé teszi a támogatott ügynöki funkciók meghatározását. A támogatott protokollkiterjesztések listájának lekérdezéséhez a 'query' kérésen keresztül a ssh-add eszközben hozzáadták a '-Q' opciót.
- A sshd_config fájlban engedélyezték több fájl megadását a RevokedKeys direktívában, míg a ssh_config fájlban a RevokedHostKeys direktívában.
- Az ssh-hoz hozzáadva lett az escape parancs „~I” és az „-O conninfo” opció a jelenlegi kapcsolat információinak megjelenítésére, valamint az „-O channels” opció az nyitott csatornák információinak megjelenítésére.
- Az sshd-ben a PerSourcePenalties direktívában megvalósításra került az „invaliduser” opció, amely késleltetést ad hozzá, ha nem létező felhasználóval próbálnak bejelentkezni (alapértelmezetten 5 másodpercre). Lehetővé vált a nem egész számú késleltetési értékek megadása is.
- Az sshd-hez hozzáadva lett a GSSAPIDelegateCredentials opció a klienstől biztosított delegált hitelesítő adatok kezelésére.
- Az ssh-keygen-hez hozzáadva lett az ED25519 kulcsok PKCS8 formátumban történő mentésének támogatása.
- Hozzáadva lett az ed25519 digitális aláírási séma támogatása, amely a libcrypto-n keresztül valósult meg.
Forrás: opennet.ru
