Megjelent az OpenSSH 10.6 kiadása, amely nyílt forráskódú kliens és szerver az SSH 2.0 és SFTP protokollokhoz. A biztonsági problémákat orvosolták, amelyek többségét AI-eszközök használatával végzett kódanalízis során tárták fel (CVE-azonosítók nem lettek kiadva):
- Sebezhetőség az sftp-ben, amely lehetővé tette fájlok írását a céldirektórián kívül, amikor egy támadó által irányított szerverrel érintkezett.
- Két sebezhetőség a GSSAPI megvalósításában az sshd-ben, amely a különböző hitelesítési kísérletek közötti állapotmegőrzés miatt alakult ki. A GSSAPI hitelesítő adatai megőrízhetők voltak egy sikertelen hitelesítési kísérlet után és felhasználhatóak a következő sikeres hitelesítési kísérlet során. A problémák a GSSAPIAuthentication beállításának engedélyezésekor jelentkeztek.
- Az sshd és az ssh esetében letiltották az LZ77 tömörítés támogatását, mivel lehetővé tette egy oldalsó csatornás támadás végrehajtását, amely lehetővé tette a tartalom helyreállítását egy másik munkamenetből, amikor a célszerverrel közös multiplexalt kapcsolat révén csatlakozott, kihasználva azt, hogy a támadó által ellenőrzött bemeneti adatok befolyásolják a továbbított titkosított üzenetek általános hosszát (az LZ77 a megismétlődő sorokat hivatkozásokra cseréli a mindenki által használt pufferben).
- Az ssh parancssorban megtiltották a ‘$’ és ‘\’ karakterek használatát a felhasználónevekben, mivel ezek segítségével kód végrehajtása valósítható meg a ProxyCommand és Match exec utasításokba beszúrt nevek használatával a beállításokban.
- Az ssh-keygen-nél javították a nyári időszámítás hibás kezelését, amely a tanúsítványok érvényességi idejének 1 órás elcsúszását okozta.
- A zip-bombák létrehozásának blokkolása érdekében az sshd és ssh esetében bevezettek egy ellenőrzést, amely megakadályozza a maximális csomagméret túllépését az adatok kitömörítésekor.
- Az sshd-ben megoldották a problémát, amely lehetővé tette a ‘restrict’ kulcsszó korlátozásainak megkerülését az authorized_keys fájlban, amely nem volt alkalmazva az alagutakra (PermitTunnel).
- Az sshd-ben megszüntették a ‘none’ opció helytelen elemzését a Match blokkok belsejében, amelyet bizonyos utasításokban, például az AuthorizedPrincipalsFile-nál, mint fájlnevet értelmeztek, nem pedig az utasítás kikapcsolásának jelzésére.
- Az sshd-ben megszüntették a root-jogok visszaállításának hiányát olyan platformokon, amelyek nem támogatják a fájleírók átadását és amelyek PTY kiosztásához root jogokat követelnek. A probléma a QNX 6, SCO OpenServer 5 rendszerekben és a ‘—disable-fd-passing’ opcióval végzett fordítás során jelentkezik.
Nem biztonsági sebezhetőségekhez kapcsolódó változások:
- Bevezettük a hibrid kriptográfiai algoritmus ssh-mldsa44-ed25519 támogatását, amely ellenálló a kvantumszámítógépek általi feltöréssel szemben.
- Az sshd_config fájlban megvalósítottuk és alapértelmezetten engedélyeztük a WarnWeakCrypto opciót, amely a kvantumszámítógép által nem ellenálló kulcsmegosztási algoritmusokkal történő kapcsolódásról szóló figyelmeztetések kezelésére szolgál.
- Az ssh-keygen és ssh-add esetében bevezetésre került a credProtect politika ellenőrzés a tokenek FIDO rezidens kulcsainak elérésével kapcsolatos hitelesítési követelmények (PIN vagy biometrika) teljesítése érdekében.
- Az ssh-add-hoz hozzáadtuk a "-P" kapcsolót, amely lehetővé teszi az FIDO és PKCS#11 tokenekhez tartozó opcionális PIN-kód megadásának kihagyását.
- Az ssh parancsában a ~I opció megvalósítja a helyi és távoli rendszerek verzióinformációinak megjelenítését.
- Az sftp parancsokhoz, mint a mkdir/lmkdir, egy „-p” kapcsolót adtunk hozzá a könyvtárak létrehozásához szükség esetén.
- Az ssh-keygen-hez hozzáadtuk a „hexdump” módot a kulcsok hexadecimális dump formában történő exportálásához (például dokumentációba való beillesztés céljából).
- Az ssh és sshd ChannelTimeout direktívájában megengedett a másodperc törtrészéig terjedő időkorlátok megadása.
- Az sshd-hez hozzáadtuk az AgentSocketPath opciót, amellyel megadható a $SSH_AUTH_SOCK elérési útja az ügynök átereszthetőségnél (például user:.ssh/agent a $HOME alatti almappákhoz és shared:/tmp a közös mappákhoz).
- Az ssh-agent-hez hozzáadtunk egy „-A” kapcsolót, amely lehetővé teszi az ügynöksocket mappák megadását, ahol megengedett a „user:” és „shared:” prefixek használata az AgentSocketPath opcióban.
- Az sshd-ben a nyilvános kulcsok ellenőrzését elválasztottuk az autentikációs kísérletektől. Hozzáadtuk a „PubkeyOptions max-pk-ok:nnnn” opciót a nyilvános kulcsok ellenőrzésére tett kísérletek számának beállításához (alapértelmezés szerint 6), amely után a kapcsolat a MaxAuthTries limit miatt megszakad.
- Az ssh és sshd TCPKeepAlive opciójához hozzáadtuk az „all” érték támogatását, amely lehetővé teszi a keepalive csomagok küldését nemcsak a fő kapcsolatra, hanem az azon keresztül átnyúló kapcsolatokra is.
Forrás: opennet.ru
