È stato rilasciato OpenSSH 10.1, un'implementazione open source del client e del server per il funzionamento con i protocolli SSH 2.0 e SFTP.
Variazioni principali:
- È stato risolto un problema di sicurezza che consentiva a un aggressore di iniettare comandi shell attraverso la manipolazione di caratteri speciali nel nome utente o nell'URI, che potevano essere eseguiti durante l'esecuzione di un comando specificato tramite l'impostazione 'ProxyCommand' contenente una sostituzione '%u'. Il problema riguarda solo i sistemi che consentono sostituzioni di nomi utente o URI non fidati al momento dell'avvio di ssh.
Per bloccare tali attacchi, è vietato utilizzare caratteri di controllo nei nomi utente forniti al momento dell'esecuzione dalla riga di comando o sostituiti nelle impostazioni tramite sequenze %-specifiche. È anche vietato l'uso del carattere nullo ('\0') nell'URI ssh://. È fatta eccezione solo per i nomi specificati nel file di configurazione (si presume che i dati in questo file siano fidati).
- Nelle utility ssh e ssh-agent è stata aggiunta la supporto per le chiavi ed25519 memorizzate in token PKCS#11.
- Nel file di configurazione ssh_config è stata aggiunta l'impostazione RefuseConnection, grazie alla quale, in una sezione attiva, il processo viene terminato con un messaggio di errore senza tentare di stabilire una connessione. Match host foo RefuseConnection 'l'host foo non è più in uso, connettiti all'host bar'
- In ssh e sshd sono stati aggiunti gestori del segnale SIGINFO per registrare informazioni sulla sessione e sul canale attivo.
- In sshd, in caso di mancata autenticazione dell'utente tramite certificato, vengono registrati non solo i motivi del rifiuto, ma anche informazioni dettagliate per identificare il certificato problematico.
- In sshd è stato aggiunto un controllo del numero di visualizzazione X11 rispetto all'offset specificato nella direttiva X11DisplayOffset.
- Nel set di unit test sono state aggiunte funzionalità per la misurazione delle prestazioni, attivabili all'esecuzione di 'make UNITTEST_BENCHMARK=yes' in OpenBSD o 'make unit-bench' negli altri sistemi.
Modifiche che potrebbero interrompere la retrocompatibilità:
- In ssh, a warning has been added when using a key agreement algorithm that is not resistant to brute-force attacks on quantum computers during the connection setup. The warning has been added due to the risk of future attacks using previously saved traffic dumps. To disable the warning, the WarnWeakCrypto option has been added to ssh_config. Match host unsafe.example.com WarnWeakCrypto no
- In ssh and sshd, the handling of DSCP (IPQoS) quality of service parameters has been significantly changed. For interactive traffic, the EF (Expedited Forwarding) class is now set by default for more prioritized processing in wireless networks. For non-interactive traffic, the class is set to the default used by the operating system. The traffic class can be changed using the IPQoS setting in ssh_config and sshd_config. ToS (type-of-service) parameters for IPv4 in the IPQoS directive have been deprecated (DSCP has replaced ToS).
- In ssh-add, when adding a certificate to the ssh-agent, the lifetime of the certificate is set to a value that is 5 minutes longer than the certificate's validity (for automatic removal of expired certificates). The '-N' option has been added to ssh-add to disable this behavior.
- Support for XMSS keys has been removed, which was marked as experimental and was never enabled by default.
- Unix sockets created by the ssh-agent and sshd processes have been moved from the /tmp directory to ~/.ssh/agent, which ensures that these sockets cannot be accessed by isolated processes that have restricted access to the filesystem but have access to /tmp.
In future releases, DNS records of SHA1 SSHFP will be deprecated due to issues with the reliability of the SHA1 hash function. These records will be ignored, and the 'ssh-keygen -r' command will only generate SHA256 SSHFP records.
Fonte: opennet.ru
