Rilascio di OpenSSH 8.3 con correzione di vulnerabilità in scp

Dopo tre mesi di sviluppo presentato il rilascio OpenSSH 8.3, implementazione open-source di un client e server per operare con i protocolli SSH 2.0 e SFTP.

Nella nuova versione è stata aggiunta una protezione contro attacchi SCP, che consente al server di inviare nomi di file diversi da quelli richiesti (a differenza della precedente vulnerabilità, l'attacco non consente di cambiare la directory selezionata dall'utente o la maschera glob). Ricordiamo che nel SCP il server decide quali file e directory inviare al client, mentre il client verifica solo la correttezza dei nomi degli oggetti restituiti. La sostanza del problema rilevato è che, se la chiamata di sistema utimes fallisce, il contenuto del file viene interpretato come metadati del file.

Questa caratteristica Durante la connessione a un server controllato da un attaccante, può essere utilizzata per salvare nel file system dell'utente nomi di file diversi e contenuti diversi durante la copia utilizzando SCP in configurazioni che portano a un errore nella chiamata utimes (ad esempio, quando utimes è vietato dalla politica SELinux o da un filtro di chiamate di sistema). La probabilità che si verifichino attacchi reali è valutata come minima, poiché nelle configurazioni tipiche la chiamata utimes non fallisce. Inoltre, l'attacco non passa inosservato: quando si utilizza SCP viene visualizzato un errore di trasferimento dati.

Modifiche generali:

• In SFTP è stata interrotta l'elaborazione dell'argomento «-1» analogamente a SSH e SCP, che prima veniva accettato ma ignorato;
• In SSHD, utilizzando IgnoreRhosts, ora sono disponibili tre opzioni: «yes» — ignorare rhosts/shosts, «no» — considerare rhosts/shosts e «shosts-only» — consentire «.shosts», ma vietare «.rhosts»;
• In SSH è stata garantita la gestione della sostituzione %TOKEN nelle impostazioni LocalForward e RemoteForward, utilizzate per il reindirizzamento di socket Unix;
• Consentita la caricamento di chiavi pubbliche da un file non crittografato con la chiave privata, se non è presente un file separato con la chiave pubblica;
• Se presente nel sistema, libcrypto in SSH e SSHD ora utilizza l'implementazione dell'algoritmo chacha20 di questa libreria, invece dell'implementazione portabile incorporata, che è in ritardo in termini di prestazioni;
• Implementata la possibilità di fare il dump del contenuto dell'elenco binario dei certificati revocati durante l'esecuzione del comando «ssh-keygen -lQf /path»;
• Nella versione portabile è stata implementata la definizione dei sistemi in cui i segnali con l'opzione SA_RESTART interrompono l'esecuzione di select;
• Sono stati risolti i problemi di compilazione nei sistemi HP/UX e AIX;
• Risolti i problemi di compilazione della sandbox seccomp in alcune configurazioni di Linux;
• Migliorata la determinazione della libreria libfido2 e risolti i problemi di compilazione con l'opzione «—with-security-key-builtin».

Gli sviluppatori di OpenSSH hanno anche avvertito nuovamente riguardo al prossimo passaggio nella categoria degli algoritmi obsoleti che utilizzano hash SHA-1, a causa di un aumento dell'efficacia degli attacchi di collisione con un prefisso specificato (il costo per trovare una collisione è stimato intorno ai 45.000 dollari). In uno dei prossimi aggiornamenti, si prevede di disabilitare per impostazione predefinita l'uso dell'algoritmo di firma digitale a chiave pubblica «ssh-rsa», menzionato nell'RFC originale per il protocollo SSH e ancora ampiamente utilizzato nella pratica (per verificare l'uso di ssh-rsa nei propri sistemi, si può provare a connettersi via ssh con l'opzione «-oHostKeyAlgorithms=-ssh-rsa»).

Per facilitare la transizione verso i nuovi algoritmi in OpenSSH, in uno dei prossimi aggiornamenti sarà abilitata per impostazione predefinita l'impostazione UpdateHostKeys, che consentirà di trasferire automaticamente i client a algoritmi più sicuri. Tra gli algoritmi raccomandati per la migrazione ci sono rsa-sha2-256/512 basati su RFC8332 RSA SHA-2 (supportati da OpenSSH 7.2 e utilizzati come impostazione predefinita), ssh-ed25519 (supportato da OpenSSH 6.5) e ecdsa-sha2-nistp256/384/521 basati su RFC5656 ECDSA (supportati da OpenSSH 5.7).

A partire dal rilascio precedente, «ssh-rsa» e «diffie-hellman-group14-sha1» sono stati rimossi dall'elenco CASignatureAlgorithms, che definisce gli algoritmi consentiti per la firma digitale di nuovi certificati, poiché l'uso di SHA-1 nei certificati comporta rischi aggiuntivi in quanto un attaccante ha tempo illimitato per cercare collisioni per un certificato esistente, mentre il tempo di attacco ai chiavi host è limitato dal timeout di connessione (LoginGraceTime).

Fonte: opennet.ru