{"id":183658,"date":"2026-10-06T22:53:58","date_gmt":"2026-10-06T20:53:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-openssh-10-6-s-ustraneniem-uyazvimostej"},"modified":"2026-10-06T22:54:02","modified_gmt":"2026-10-06T20:54:02","slug":"openssh-10-6-released-with-vulnerability-fixes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/openssh-10-6-released-with-vulnerability-fixes","title":{"rendered":"Megjelent az OpenSSH 10.6, amely a sebezhet\u0151s\u00e9gek jav\u00edt\u00e1s\u00e1t tartalmazza.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Megjelent az OpenSSH 10.6 kiad\u00e1sa, amely ny\u00edlt forr\u00e1sk\u00f3d\u00fa kliens \u00e9s szerver az SSH 2.0 \u00e9s SFTP protokollokhoz. A biztons\u00e1gi probl\u00e9m\u00e1kat orvosolt\u00e1k, amelyek t\u00f6bbs\u00e9g\u00e9t AI-eszk\u00f6z\u00f6k haszn\u00e1lat\u00e1val v\u00e9gzett k\u00f3danal\u00edzis sor\u00e1n t\u00e1rt\u00e1k fel (CVE-azonos\u00edt\u00f3k nem lettek kiadva): <\/p>\n
\n
Sebezhet\u0151s\u00e9g az sftp-ben, amely lehet\u0151v\u00e9 tette f\u00e1jlok \u00edr\u00e1s\u00e1t a c\u00e9ldirekt\u00f3ri\u00e1n k\u00edv\u00fcl, amikor egy t\u00e1mad\u00f3 \u00e1ltal ir\u00e1ny\u00edtott szerverrel \u00e9rintkezett.\n
K\u00e9t sebezhet\u0151s\u00e9g a GSSAPI megval\u00f3s\u00edt\u00e1s\u00e1ban az sshd-ben, amely a k\u00fcl\u00f6nb\u00f6z\u0151 hiteles\u00edt\u00e9si k\u00eds\u00e9rletek k\u00f6z\u00f6tti \u00e1llapotmeg\u0151rz\u00e9s miatt alakult ki. A GSSAPI hiteles\u00edt\u0151 adatai meg\u0151r\u00edzhet\u0151k voltak egy sikertelen hiteles\u00edt\u00e9si k\u00eds\u00e9rlet ut\u00e1n \u00e9s felhaszn\u00e1lhat\u00f3ak a k\u00f6vetkez\u0151 sikeres hiteles\u00edt\u00e9si k\u00eds\u00e9rlet sor\u00e1n. A probl\u00e9m\u00e1k a GSSAPIAuthentication be\u00e1ll\u00edt\u00e1s\u00e1nak enged\u00e9lyez\u00e9sekor jelentkeztek.\n
Az sshd \u00e9s az ssh eset\u00e9ben letiltott\u00e1k az LZ77 t\u00f6m\u00f6r\u00edt\u00e9s t\u00e1mogat\u00e1s\u00e1t, mivel lehet\u0151v\u00e9 tette egy oldals\u00f3 csatorn\u00e1s t\u00e1mad\u00e1s v\u00e9grehajt\u00e1s\u00e1t, amely lehet\u0151v\u00e9 tette a tartalom helyre\u00e1ll\u00edt\u00e1s\u00e1t egy m\u00e1sik munkamenetb\u0151l, amikor a c\u00e9lszerverrel k\u00f6z\u00f6s multiplexalt kapcsolat r\u00e9v\u00e9n csatlakozott, kihaszn\u00e1lva azt, hogy a t\u00e1mad\u00f3 \u00e1ltal ellen\u0151rz\u00f6tt bemeneti adatok befoly\u00e1solj\u00e1k a tov\u00e1bb\u00edtott titkos\u00edtott \u00fczenetek \u00e1ltal\u00e1nos hossz\u00e1t (az LZ77 a megism\u00e9tl\u0151d\u0151 sorokat hivatkoz\u00e1sokra cser\u00e9li a mindenki \u00e1ltal haszn\u00e1lt pufferben).\n
Az ssh seg\u00e9dprogramban a felhaszn\u00e1l\u00f3nevekben megengedett karakterek k\u00f6z\u00e9 nem tartozik a ‘$’ \u00e9s a ‘\’, mivel ezek seg\u00edts\u00e9g\u00e9vel k\u00f3d v\u00e9grehajt\u00e1s\u00e1ra lehet\u0151s\u00e9get ad\u00f3 substit\u00faci\u00f3s m\u0171veleteket lehetett volna v\u00e9gezni a ProxyCommand \u00e9s Match exec direkt\u00edv\u00e1kban megadott nevek eset\u00e9n.\n
Az ssh-keygen-n\u00e9l jav\u00edtott\u00e1k a ny\u00e1ri id\u0151sz\u00e1m\u00edt\u00e1s hib\u00e1s kezel\u00e9s\u00e9t, amely a tan\u00fas\u00edtv\u00e1nyok \u00e9rv\u00e9nyess\u00e9gi idej\u00e9nek 1 \u00f3r\u00e1s elcs\u00fasz\u00e1s\u00e1t okozta.\n
A zip-bomb\u00e1k l\u00e9trehoz\u00e1s\u00e1nak blokkol\u00e1sa \u00e9rdek\u00e9ben az sshd \u00e9s ssh eset\u00e9ben bevezettek egy ellen\u0151rz\u00e9st, amely megakad\u00e1lyozza a maxim\u00e1lis csomagm\u00e9ret t\u00fall\u00e9p\u00e9s\u00e9t az adatok kit\u00f6m\u00f6r\u00edt\u00e9sekor.\n
Az sshd-ben megoldott\u00e1k a probl\u00e9m\u00e1t, amely lehet\u0151v\u00e9 tette a «restrict» kulcssz\u00f3 korl\u00e1toz\u00e1sainak megker\u00fcl\u00e9s\u00e9t az authorized_keys f\u00e1jlban, amely a tunneling (PermitTunnel) eset\u00e9ben nem \u00e9rv\u00e9nyes\u00fclt.\n
Az sshd-ben kijav\u00edtott\u00e1k a «none» opci\u00f3 hib\u00e1s \u00e9rtelmez\u00e9s\u00e9t a Match blokkokban, amelyet bizonyos direkt\u00edv\u00e1k, p\u00e9ld\u00e1ul AuthorizedPrincipalsFile eset\u00e9n f\u00e1jln\u00e9vk\u00e9nt \u00e9rtelmeztek, nem pedig a direkt\u00edva letilt\u00e1s\u00e1nak jelz\u0151jek\u00e9nt.\n
Az sshd-ben megsz\u00fcntett\u00e9k a root-jogok vissza\u00e1ll\u00edt\u00e1s\u00e1nak hi\u00e1ny\u00e1t olyan platformokon, amelyek nem t\u00e1mogatj\u00e1k a f\u00e1jlok \u00e1tad\u00e1s\u00e1t, \u00e9s a PTY l\u00e9trehoz\u00e1s\u00e1hoz root jogosults\u00e1got ig\u00e9nyelnek. A probl\u00e9ma QNX 6, SCO OpenServer 5 \u00e9s «—disable-fd-passing» opci\u00f3val val\u00f3 \u00f6ssze\u00e1ll\u00edt\u00e1s eset\u00e9n jelentkezik. <\/ul>\n
Nem biztons\u00e1gi sebezhet\u0151s\u00e9gekhez kapcsol\u00f3d\u00f3 v\u00e1ltoz\u00e1sok: <\/p>\n
\n
Bevezett\u00fck a hibrid kriptogr\u00e1fiai algoritmus ssh-mldsa44-ed25519 t\u00e1mogat\u00e1s\u00e1t, amely ellen\u00e1ll\u00f3 a kvantumsz\u00e1m\u00edt\u00f3g\u00e9pek \u00e1ltali felt\u00f6r\u00e9ssel szemben.\n
Az sshd_config f\u00e1jlban megval\u00f3s\u00edtottuk \u00e9s alap\u00e9rtelmezetten enged\u00e9lyezt\u00fck a WarnWeakCrypto opci\u00f3t, amely a kvantumsz\u00e1m\u00edt\u00f3g\u00e9p \u00e1ltal nem ellen\u00e1ll\u00f3 kulcsmegoszt\u00e1si algoritmusokkal t\u00f6rt\u00e9n\u0151 kapcsol\u00f3d\u00e1sr\u00f3l sz\u00f3l\u00f3 figyelmeztet\u00e9sek kezel\u00e9s\u00e9re szolg\u00e1l.\n
Az ssh-keygen \u00e9s ssh-add eset\u00e9ben bevezet\u00e9sre ker\u00fclt a credProtect politika ellen\u0151rz\u00e9s a tokenek FIDO rezidens kulcsainak el\u00e9r\u00e9s\u00e9vel kapcsolatos hiteles\u00edt\u00e9si k\u00f6vetelm\u00e9nyek (PIN vagy biometrika) teljes\u00edt\u00e9se \u00e9rdek\u00e9ben.\n
Az ssh-add-hez hozz\u00e1adt\u00e1k a «-P» kapcsol\u00f3t, amely lehet\u0151v\u00e9 teszi a PIN-k\u00f3d k\u00f6telez\u0151 bevitel\u00e9nek kihagy\u00e1s\u00e1t a FIDO \u00e9s PKCS#11 tokenek eset\u00e9ben.\n
Az ssh parancs\u00e1ban a ~I opci\u00f3 megval\u00f3s\u00edtja a helyi \u00e9s t\u00e1voli rendszerek verzi\u00f3inform\u00e1ci\u00f3inak megjelen\u00edt\u00e9s\u00e9t.\n
Az sftp mkdir\/lmkdir parancsaihoz hozz\u00e1adt\u00e1k a ‘-p’ kapcsol\u00f3t, amely lehet\u0151v\u00e9 teszi a k\u00f6nyvt\u00e1rak l\u00e9trehoz\u00e1s\u00e1t sz\u00fcks\u00e9g eset\u00e9n.\n
Az ssh-keygen-hez hozz\u00e1adt\u00e1k a «hexdump» m\u00f3dot a kulcsok hexadecim\u00e1lis dump form\u00e1j\u00e1ban t\u00f6rt\u00e9n\u0151 export\u00e1l\u00e1s\u00e1ra (p\u00e9ld\u00e1ul dokument\u00e1ci\u00f3ba val\u00f3 beilleszt\u00e9s c\u00e9lj\u00e1b\u00f3l).\n
Az ssh \u00e9s sshd ChannelTimeout direkt\u00edv\u00e1j\u00e1ban megengedett a m\u00e1sodperc t\u00f6rtr\u00e9sz\u00e9ig terjed\u0151 id\u0151korl\u00e1tok megad\u00e1sa.\n
Az sshd-hez hozz\u00e1adtuk az AgentSocketPath opci\u00f3t, amellyel megadhat\u00f3 a $SSH_AUTH_SOCK el\u00e9r\u00e9si \u00fatja az \u00fcgyn\u00f6k \u00e1tereszthet\u0151s\u00e9gn\u00e9l (p\u00e9ld\u00e1ul user:.ssh\/agent a $HOME alatti almapp\u00e1khoz \u00e9s shared:\/tmp a k\u00f6z\u00f6s mapp\u00e1khoz).\n
Az ssh-agent-hez hozz\u00e1adt\u00e1k a «-A» kapcsol\u00f3t, amely megadja az \u00fcgyn\u00f6kszoketthez tartoz\u00f3 k\u00f6nyvt\u00e1rakat, ahol megengedett a «user:» \u00e9s a «shared:» prefixek haszn\u00e1lata, ak\u00e1rcsak az AgentSocketPath opci\u00f3ban.\n
Az sshd-ben az nyilv\u00e1nos kulcsok ellen\u0151rz\u00e9s\u00e9t elk\u00fcl\u00f6n\u00edtett\u00e9k az autentik\u00e1ci\u00f3s k\u00eds\u00e9rletekt\u0151l. Hozz\u00e1adt\u00e1k a «PubkeyOptions max-pk-ok:nnnn» opci\u00f3t a nyilv\u00e1nos kulcsok ellen\u0151rz\u00e9s\u00e9nek k\u00eds\u00e9rleteinek sz\u00e1m\u00e1nak be\u00e1ll\u00edt\u00e1s\u00e1ra (alap\u00e9rtelmez\u00e9s szerint 6), amely ut\u00e1n a kapcsolat megszakad a MaxAuthTries hat\u00e1r miatt.\n
Az ssh \u00e9s sshd konfigur\u00e1ci\u00f3s TCPKeepAlive opci\u00f3j\u00e1ban hozz\u00e1adt\u00e1k a «all» \u00e9rt\u00e9k t\u00e1mogat\u00e1s\u00e1t, amely lehet\u0151v\u00e9 teszi a keepalive csomagok k\u00fcld\u00e9s\u00e9t nemcsak az alapkapcsolatra, hanem az azon kereszt\u00fcl \u00e1tkonfigur\u00e1lt kapcsolatokra is. <\/ul>\n