È stata pubblicata la versione OpenSSH 10.5, un'implementazione open source di client e server per funzionare con i protocolli SSH 2.0 e SFTP. Le principali novità:
- Per la versione portatile di OpenSSH, ora è necessaria la supporto della crittografia basata su curve ellittiche (ECC — Elliptic Curve Cryptography) nella libreria libcrypto, compreso il supporto per la curva ellittica NISTP521. Questa supporto è incluso di default nelle implementazioni di libcrypto dei progetti LibreSSL, OpenSSL, BoringSSL e AWS LC.
- Nell'utilità ssh-keygen, durante il ripristino della password per le chiavi private per i token FIDO, è stata implementata l'impostazione dei flag touch-required e verify-required, che richiedono la conferma da parte dell'utente.
- Nell'utilità ssh, è stato modificato l'ordine di utilizzo dei certificati durante l'autenticazione con chiavi pubbliche: ora si utilizzano prima le chiavi FIDO che non richiedono azioni da parte dell'utente, mentre in ultima istanza si utilizzano le chiavi che richiedono la verifica tramite PIN o biometria.
- È stato aggiunto il comando "ssh -Z user", che mostra le chiavi nell'ordine in cui vengono utilizzate per l'autenticazione con chiavi pubbliche.
- Sono stati risolti problemi di sicurezza:
- È stata corretta l'errata gestione delle richieste di binding delle sessioni durante il blocco dell'SSH Agent, che portava a una situazione in cui, invece di negare l'accesso, l'SSH Agent permetteva di eseguire operazioni da remoto che dovevano essere disponibili solo localmente, come l'aggiunta di token PKCS#11 e l'uso di chiavi legate a specifici server.
- Nel client ssh è stata eliminata una potenziale dereferenziazione di memoria dopo la sua liberazione (use-after-free), che si manifestava durante il multiplexing delle connessioni SSH attraverso un socket nel caso di aggiunta di un nuovo port forwarding mentre il client stava ancora aspettando una risposta dal server per l'apertura del precedente port forwarding.
- Nello sshd è stato ripristinato un corretto applicazione dei vincoli definiti tramite il flag "restrict" nel file authorized_keys per i tunnel reindirizzati.
Fonte: opennet.ru
