OpenSSH 10.6, implementasi klien dan server sumber terbuka untuk SSH 2.0 dan SFTP, telah dirilis. Masalah keamanan, yang sebagian besar diidentifikasi melalui analisis kode menggunakan alat AI, telah diatasi (pengidentifikasi CVE belum ditetapkan):
- Kerentanan pada SFTP memungkinkan penulisan file ke luar direktori target saat mengakses server yang dikendalikan oleh penyerang.
- Dua kerentanan dalam implementasi GSSAPI di sshd disebabkan oleh persistensi status antar upaya autentikasi. Kredensial GSSAPI dapat tetap ada setelah upaya autentikasi gagal dan digunakan setelah upaya autentikasi berhasil berikutnya. Masalah ini muncul ketika pengaturan GSSAPIAuthentication diaktifkan.
- Dukungan kompresi LZ77 dinonaktifkan di sshd dan ssh karena kemungkinan serangan saluran samping yang memungkinkan pemulihan konten dari sesi lain saat terhubung melalui koneksi multipleks bersama dengan korban, dengan memanfaatkan fakta bahwa input yang dikendalikan penyerang memengaruhi panjang keseluruhan pesan terenkripsi yang ditransmisikan (LZ77 mengganti string yang berulang dengan referensi dalam buffer yang digunakan bersama oleh semua saluran).
- Utilitas ssh melarang penggunaan karakter '$' dan '\' dalam nama pengguna yang dimasukkan pada baris perintah, karena karakter tersebut dapat digunakan untuk mengeksekusi kode saat mengganti nama ke dalam arahan ProxyCommand dan Match exec yang ditentukan dalam pengaturan.
- Pada ssh-keygen, kesalahan penanganan waktu musim panas (daylight saving time) telah diperbaiki, yang mengakibatkan pergeseran tanggal kedaluwarsa sertifikat selama 1 jam.
- Untuk mencegah pembuatan zip bomb di sshd dan ssh, telah ditambahkan pemeriksaan untuk mengetahui apakah ukuran paket melebihi batas maksimum saat membongkar data.
- Di sshd, sebuah masalah telah teratasi di mana pembatasan kata kunci "restrict" dalam file authorized_keys dilewati dan tidak diterapkan pada tunnel (PermitTunnel).
- Di sshd, opsi "none" tidak lagi diuraikan secara salah di dalam blok Match, yang dalam beberapa arahan, seperti AuthorizedPrincipalsFile, diinterpretasikan sebagai nama file dan bukan sebagai indikasi bahwa arahan tersebut dinonaktifkan.
- Memperbaiki bug pada sshd di mana hak akses root tidak dihapus pada platform yang tidak mendukung penerusan deskriptor file dan memerlukan hak akses root untuk mengalokasikan PTY. Masalah ini terjadi pada QNX 6, SCO OpenServer 5, dan saat membangun dengan opsi "--disable-fd-passing".
Perubahan yang tidak terkait dengan kerentanan:
- Dukungan untuk algoritma kriptografi hibrida ssh-mldsa44-ed25519, yang tahan terhadap serangan brute-force pada komputer kuantum, telah diaktifkan.
- Opsi WarnWeakCrypto telah diimplementasikan dan diaktifkan secara default di sshd_config untuk mengontrol apakah peringatan ditampilkan ketika koneksi dibuat menggunakan algoritma kesepakatan kunci yang tidak tahan terhadap serangan kuantum.
- ssh-keygen dan ssh-add menerapkan kebijakan credProtect untuk memeriksa kredensial guna memenuhi persyaratan verifikasi (PIN atau biometrik) sebelum mengakses kunci yang tersimpan pada token FIDO.
- Menambahkan flag "-P" ke ssh-add untuk melewati entri PIN opsional untuk token FIDO dan PKCS#11.
- Di ssh, perintah ~I menampilkan informasi tentang versi pada sistem lokal dan jarak jauh.
- Di sftp, flag '-p' telah ditambahkan ke perintah mkdir/lmkdir untuk membuat direktori jika diperlukan.
- Mode "hexdump" telah ditambahkan ke ssh-keygen untuk mengekspor kunci sebagai dump heksadesimal (misalnya, untuk ditempelkan ke dalam dokumentasi).
- Pada ssh dan sshd, perintah ChannelTimeout memungkinkan Anda untuk menentukan waktu tunggu dengan presisi sepersekian detik.
- Menambahkan opsi AgentSocketPath ke sshd untuk menentukan jalur ke $SSH_AUTH_SOCK saat meneruskan agen (misalnya, user:.ssh/agent untuk subdirektori di $HOME dan shared:/tmp untuk direktori bersama).
- ssh-agent memiliki flag "-A" untuk menentukan direktori dengan socket agen, yang memungkinkan awalan "user:" dan "shared:" untuk ditentukan, seperti pada opsi AgentSocketPath.
- Di sshd, verifikasi kunci publik sekarang dipisahkan dari upaya autentikasi. Opsi "PubkeyOptions max-pk-ok:nnnn" telah ditambahkan untuk mengkonfigurasi jumlah upaya verifikasi kunci publik (6 secara default) setelah itu koneksi akan dihentikan berdasarkan batas MaxAuthTries.
- Pada ssh dan sshd, opsi TCPKeepAlive sekarang mendukung nilai "all", yang memungkinkan pengiriman paket keepalive tidak hanya untuk koneksi utama, tetapi juga untuk koneksi yang diteruskan melaluinya.
Sumber: opennet.ru
