{"id":107307,"date":"2023-03-16T12:48:10","date_gmt":"2023-03-16T10:48:10","guid":{"rendered":"https:\/\/prohoster.info\/?p=107307"},"modified":"2023-03-17T13:35:25","modified_gmt":"2023-03-17T11:35:25","slug":"obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","title":{"rendered":"Az OpenSSH 9.3 friss\u00edt\u00e9se a biztons\u00e1gi probl\u00e9m\u00e1k megold\u00e1s\u00e1val","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Megjelent az OpenSSH 9.3 kiad\u00e1sa, amely az SSH 2.0 \u00e9s SFTP protokollokhoz val\u00f3 \u00fcgyf\u00e9l- \u00e9s kiszolg\u00e1l\u00f3 megold\u00e1s ny\u00edlt forr\u00e1sk\u00f3d\u00fa implement\u00e1ci\u00f3ja. Az \u00faj verzi\u00f3ban biztons\u00e1gi probl\u00e9m\u00e1k lettek jav\u00edtva: <\/p>\n
\n
Az ssh-add seg\u00e9dprogramban logikai hiba tal\u00e1lhat\u00f3, amely miatt a smartk\u00e1rty\u00e1khoz kapcsol\u00f3d\u00f3 kulcsok hozz\u00e1ad\u00e1sakor a korl\u00e1toz\u00e1sok, amelyeket az \u201essh-add -h\u201d opci\u00f3val adtak meg, nem ker\u00fcltek \u00e1tad\u00e1sra az ssh-agentnek. Ennek eredm\u00e9nyek\u00e9nt olyan kulcs ker\u00fclt az \u00fcgyn\u00f6kh\u00f6z, amelyhez nem alkalmaztak olyan korl\u00e1toz\u00e1sokat, amelyek csak meghat\u00e1rozott hosztokkal val\u00f3 kapcsol\u00f3d\u00e1st engednek meg.\n
Az ssh seg\u00e9dprogramban sebezhet\u0151s\u00e9g tal\u00e1lhat\u00f3, amely a DNS-v\u00e1laszok speci\u00e1lisan form\u00e1zott feldolgoz\u00e1sa sor\u00e1n stack-b\u0151l val\u00f3 adatok olvas\u00e1s\u00e1hoz vezethet a VerifyHostKeyDNS be\u00e1ll\u00edt\u00e1s enged\u00e9lyez\u00e9se eset\u00e9n a konfigur\u00e1ci\u00f3s f\u00e1jlban. A probl\u00e9ma az OpenSSH hordozhat\u00f3 verzi\u00f3iban megval\u00f3s\u00edtott getrrsetbyname() f\u00fcggv\u00e9ny be\u00e9p\u00edtett megval\u00f3s\u00edt\u00e1s\u00e1ban van, amelyeket az ldns k\u00fcls\u0151 k\u00f6nyvt\u00e1r haszn\u00e1lata n\u00e9lk\u00fcl gy\u0171jt\u00f6ttek \u00f6ssze (\u2014with-ldns) \u00e9s olyan rendszereken, amelyek standard k\u00f6nyvt\u00e1rai nem t\u00e1mogatj\u00e1k a getrrsetbyname() h\u00edv\u00e1st. A sebezhet\u0151s\u00e9g kihaszn\u00e1l\u00e1s\u00e1nak lehet\u0151s\u00e9ge, hacsak nem a ssh kliens szolg\u00e1ltat\u00e1smegtagad\u00e1s\u00e1nak kezdem\u00e9nyez\u00e9s\u00e9re, val\u00f3sz\u00edn\u0171leg alacsony. <\/ul>\n
Tov\u00e1bbi megeml\u00edthet\u0151 sebezhet\u0151s\u00e9g a libskey k\u00f6nyvt\u00e1rban tal\u00e1lhat\u00f3, amely az OpenBSD r\u00e9sze \u00e9s az OpenSSH haszn\u00e1lja. A probl\u00e9ma 1997 \u00f3ta fenn\u00e1ll, \u00e9s a kifejezetten form\u00e1zott hosztnevek feldolgoz\u00e1sa sor\u00e1n stack-beli puffert\u00falcsordul\u00e1shoz vezethet. Megjegyzend\u0151, hogy b\u00e1r a sebezhet\u0151s\u00e9get t\u00e1volr\u00f3l az OpenSSH r\u00e9v\u00e9n lehet aktiv\u00e1lni, a gyakorlatban a sebezhet\u0151s\u00e9g haszontalan, mivel a t\u00e1madott hoszt neve (\/etc\/hostname) t\u00f6bb mint 126 karaktert kell, hogy tartalmazzon, \u00e9s a puffert csak null\u00e1s k\u00f3d\u00fa karakterekkel (\u2019\u2019) lehet t\u00falt\u00f6lteni. <\/p>\n
A biztons\u00e1ggal nem kapcsolatos v\u00e1ltoz\u00e1sok k\u00f6z\u00f6tt: <\/p>\n
\n
Az ssh-keygen \u00e9s ssh-keyscan t\u00e1mogat\u00e1sa b\u0151v\u00fclt az \u201e-Ohashalg=sha1|sha256\u201d param\u00e9terrel az SSHFP kulcsok hash algoritmus\u00e1nak kiv\u00e1laszt\u00e1s\u00e1hoz.\n
Az sshd-hez hozz\u00e1ad\u00f3dott a \u201e-G\u201d opci\u00f3, amely lehet\u0151v\u00e9 teszi az akt\u00edv konfigur\u00e1ci\u00f3 elemz\u00e9s\u00e9t \u00e9s megjelen\u00edt\u00e9s\u00e9t an\u00e9lk\u00fcl, hogy megpr\u00f3b\u00e1ln\u00e1 bet\u00f6lteni a priv\u00e1t kulcsokat, \u00e9s an\u00e9lk\u00fcl, hogy tov\u00e1bbi ellen\u0151rz\u00e9seket v\u00e9gezne, lehet\u0151v\u00e9 t\u00e9ve a kulcsok gener\u00e1l\u00e1sa el\u0151tti konfigur\u00e1ci\u00f3 ellen\u0151rz\u00e9s\u00e9t, \u00e9s hogy azt nem jogosult felhaszn\u00e1l\u00f3k v\u00e9gezhess\u00e9k.\n
A sshd er\u0151s\u00edtett izol\u00e1ci\u00f3t kapott Linux platformon, haszn\u00e1lva a seccomp \u00e9s seccomp-bpf rendszerh\u00edv\u00e1s-sz\u0171r\u00e9si mechanizmusait. Az enged\u00e9lyezett rendszerh\u00edv\u00e1sok list\u00e1j\u00e1hoz hozz\u00e1adt\u00e1k a mmap, madvise \u00e9s futex flagjeit. <\/ul>\n