Dopo sei mesi di sviluppo, è stato pubblicato il rilascio di OpenSSH 9.1, un'implementazione open source di client e server per il funzionamento sui protocolli SSH 2.0 e SFTP. Questa versione è caratterizzata principalmente da correzioni di bug, tra cui la risoluzione di diverse vulnerabilità potenziali causate da problemi di gestione della memoria:
- Overflow a byte singolo nel codice di gestione del banner SSH nell'utilità ssh-keyscan.
- Doppia chiamata della funzione free() in caso di errore nel calcolo degli hash per i file nel codice di creazione e verifica delle firme digitali nell'utilità ssh-keygen.
- Doppia chiamata della funzione free() nella gestione degli errori nell'utilità ssh-keysign.
Principali modifiche:
- In ssh e sshd è stata aggiunta la direttiva RequiredRSASize, che consente di definire la dimensione minima consentita per le chiavi RSA. In sshd, le chiavi di dimensione inferiore verranno ignorate, mentre in ssh porteranno alla chiusura della connessione.
- La versione portabile di OpenSSH è stata convertita per utilizzare chiavi SSH per la firma digitale dei commit e dei tag in Git.
- Le direttive SetEnv nei file di configurazione ssh_config e sshd_config ora applicano il valore della prima occorrenza della variabile d'ambiente, se definita più volte nella configurazione (in precedenza veniva applicata l'ultima occorrenza).
- Quando si chiama l'utilità ssh-keygen con l'opzione «-A» (generazione di tutti i tipi di chiavi host supportati di default) è stata disabilitata la generazione delle chiavi DSA, che non vengono più utilizzate come predefinite da diversi anni.
- Nello sftp-server e sftp è stata implementata l'estensione «users-groups-by-id@openssh.com», che consente al client di richiedere i nomi degli utenti e dei gruppi corrispondenti a un insieme specificato di identificatori numerici (uid e gid). In sftp, questa estensione è stata utilizzata per visualizzare i nomi nell'output del contenuto della directory.
- Nello sftp-server è stata implementata l'estensione «home-directory» per espandere i percorsi ~/ e ~user/, alternativa all'estensione «expand-path@openssh.com» precedentemente proposta per gli stessi scopi (l'estensione «home-directory» è stata proposta per la standardizzazione ed è già supportata da alcuni client).
- In ssh-keygen and sshd, the ability to specify UTC time zone when defining the validity periods for certificates and keys has been added, in addition to system time.
- In sftp, additional arguments can be specified in the "-D" option (for example, "/usr/libexec/sftp-server -el debug3").
- In ssh-keygen, the use of the "-U" flag (using ssh-agent) is allowed together with the "-Y sign" operations to determine if private keys are placed in the ssh-agent.
Fonte: opennet.ru
