Dopo sei mesi di sviluppo, è stato pubblicato il rilascio di OpenSSH 10.3, un'implementazione open di client e server per l'utilizzo dei protocolli SSH 2.0 e SFTP. Principali cambiamenti:
- È stata rimossa una vulnerabilità che consentiva a un attaccante, controllando il nome utente passato all'avvio dell'utility ssh, di potenzialmente eseguire comandi shell arbitrari. La vulnerabilità si manifesta nei sistemi che utilizzano la sostituzione «%u» in alcune direttive del file di configurazione, come «Match exec». Il problema è causato dalla verifica dei caratteri speciali nel nome utente nella fase successiva all'esecuzione delle sostituzioni in %, nel file di configurazione ssh_config.
- È stato risolto un problema di sicurezza in sshd, causato da una corrispondenza errata dell'opzione authorized_keys principals=»» con l'elenco dei nomi (principal) nel certificato, quando all'interno dei nomi era presente il carattere «,». Per sfruttare la vulnerabilità era necessario che nell'opzione authorized_keys principals=»» fossero presenti più nomi e che l'autorità di certificazione avesse emesso un certificato con più nomi, separati da virgola (di solito questa situazione non è consentita). È cambiato il comportamento riguardo ai certificati con nome vuoto: in precedenza un nome vuoto conferiva accesso a tutte le opzioni authorized_keys principals=»», mentre ora non lo consente più.
- In scp è stato risolto un problema per cui, dopo il caricamento di un file con privilegi root specificando l'opzione «-O» e senza l'opzione «-p», non venivano azzerati i flag setuid/setgid.
- In sshd è stato corretto un problema nella gestione delle chiavi ECDSA nelle direttive PubkeyAcceptedAlgorithms e HostbasedAcceptedAlgorithms, che portava ad accettare tutti gli altri algoritmi basati su ECDSA nel caso fosse specificato qualsiasi algoritmo ECDSA (ad esempio, «ecdsa-sha2-nistp384») anche se non erano esplicitamente elencati nella lista dei permessi.
- In ssh e sshd, durante l'interazione con gli agenti SSH, è stato aggiunto il supporto per identificatori (codepoint) definiti dall'IANA nella specifica draft-ietf-sshm-ssh-agent. È stato mantenuto il supporto per gli identificatori precedentemente utilizzati del tipo «@openssh.com».
- In ssh-agent è stata implementata l'estensione «query», definita nella specifica draft-ietf-sshm-ssh-agent, che consente di determinare le funzioni supportate dall'agente. Per richiedere un elenco di estensioni supportate tramite la richiesta «query», nell'utility ssh-add è stata aggiunta l'opzione «-Q».
- In sshd_config è stata consentita l'indicazione di più file nella direttiva RevokedKeys, mentre in ssh_config — nella direttiva RevokedHostKeys.
- In ssh è stato aggiunto il comando di escape «~I» e l'opzione «-O conninfo» per mostrare le informazioni sulla connessione attuale, così come l'opzione «-O channels» per mostrare le informazioni sui canali aperti.
- In sshd la direttiva PerSourcePenalties ha implementato l'opzione ‘invaliduser’ per aggiungere un ritardo nel caso di tentativo di accesso con un utente inesistente (di default 5 secondi). È stata aggiunta la possibilità di specificare valori di ritardo non interi.
- In sshd è stata aggiunta l'opzione GSSAPIDelegateCredentials per gestire l'accettazione delle credenziali delegate fornite dal client.
- In ssh-keygen è stato aggiunto il supporto per la registrazione di chiavi ED25519 nel formato PKCS8.
- È stato aggiunto il supporto per lo schema di firme digitali ed25519, implementato tramite libcrypto.
Fonte: opennet.ru
