Három hónapos fejlesztés után megjelent az OpenSSH 10.4, a SSH 2.0 és SFTP protokollok használatára szolgáló kliens és szerver nyílt megvalósítása. Főbb változások:
- Bevezetésre került a kísérleti támogatás a "mldsa44-ed25519" kombinált digitális aláírás-generáló séma számára, amely a posztkvantum ML-DSA 44 algoritmust és az Ed25519 elliptikus görbéken alapuló algoritmust kombinálja. A támogatás engedélyezéséhez a "mldsa44-ed25519"-t kell hozzáadni a HostKeyAlgorithms és PubkeyAcceptedAlgorithms direktívákhoz. A kulcsok generálásához az "ssh-keygen -t mldsa44-ed25519" parancsot lehet használni.
- Az ssh és sshd új megvalósítást kapott a minták szerinti illesztési rendszerből, amely nemdeterminista végső automatán alapul, és nem szenved az exponenciális bonyolultsági probléma miatt, ha sok "*" szimbólumot tartalmazó maszkokat használnak.
- Megváltozott a Linux-alapú sshd viselkedése a rendszerhívás-szűrés seccomp általi aktiválása esetén. Korábban a SECCOMP vagy NO_NEW_PRIVS aktiválásakor, ha a Linux rendszerek nem támogatták ezeket, a naplóba figyelmeztetést írtak, és folytatódott a működés izoláció nélkül. Most azonban hibás leálláshoz fog vezetni.
- A "sshd -G" opció használatakor a konfigurációs dumpban a direktívákat most már nagy- és kisbetűkkel írják, ahelyett, hogy csak kisbetűkkel jelenítenék meg (pl. "PubkeyAuthentication", ahelyett, hogy "pubkeyauthentication").
- Az ssh és sshd viselkedését az RFC 4253 szabványnak megfelelően alakították át: ha a kulcscsere során az kulcsok nagyításához nem kapcsolódó üzeneteket küldenek, akkor a kapcsolat lezárásához vezet. Korábban a támadók DoS támadást indíthattak, végtelenül közvetítve a kulcscsere folyamatában harmadik fél üzeneteit, amelyek puffert használtak fel. szerveren és memóriafogyasztáshoz vezetett.
Számos biztonsági problémát orvosoltak:
- Az ssh utilityben potenciális use-after-free memória-hozzáférés javítva lett, amely a kártevőhöz való hozzáférés során jelentkezett. szerverhezA probléma a host kulcsának megváltoztatásával kihasználható a kulcscsere folyamatában.
- Sérülékenység az sftp-ben, amely lehetővé teszi, hogy egy fájlt másik könyvtárba töltsenek fel egy káros szerverhez való hozzáférés során az "sftp host:/path ." formájú parancs használatával.
- Sérülékenység az scp-ben, amely lehetővé teszi a fájlok másolását két külső rendszer között. szerverekaz egyik, amelyik támadó által irányított, lehetővé teszi fájlok rögzítését a célközvetlenül alatta lévő szülőkönyvtárba.
- Megoldották a sshd-ben azt a problémát, amely az internal-sftp belső implementációjának használatakor merült fel (alapértelmezés szerint letiltva). A probléma a parancssorban hosszú argumentumok levágásával kapcsolatos, ami a következő argumentumok eldobásához vezetett. Így potenciálisan biztonsági összefüggésű opciók is elveszhetnek.
- A sshd-ben kijavították a hiányosságot, amely miatt a «DisableForwarding=yes» irányelv nem akadályozta meg a «PermitTunnel=yes» opcióval engedélyezett alagút létrehozását (alapértelmezés szerint nincs beállítva).
- A sshd-ben megszüntették azt a problémát, amelyet a GSSAPIAuthentication irányelv engedélyezésekor lehetett használni a hitelesítés előtti szolgáltatásmegtagadás kezdeményezésére (alapértelmezés szerint le van tiltva). A probléma nem blokkolódik a «MaxAuthTries» korlátozással, de a «PerSourcePenalties» korlátozása alatt áll.
- A sshd-ben megoldották a hiányosságokat, amelyek miatt nem mindig került be az alapvető késleltetés a hitelesítési próbálkozások között.
Forrás: opennet.ru
