Dopo sei mesi di sviluppo, è stata pubblicata la versione OpenSSH 9.1, un'implementazione open source di client e server per operare tramite i protocolli SSH 2.0 e SFTP. L'uscita è principalmente caratterizzata da correzioni di bug, inclusa la risoluzione di alcune potenziali vulnerabilità causate da problemi di gestione della memoria:
- Overflow di byte singoli nel codice di gestione del banner SSH nell'utilità ssh-keyscan.
- Doppia chiamata della funzione free() in caso di errore nel calcolo degli hash per i file nel codice di creazione e verifica delle firme digitali nell'utilità ssh-keygen.
- Doppia chiamata della funzione free() durante la gestione degli errori nell'utilità ssh-keysign.
Variazioni principali:
- Nel ssh e sshd è stata aggiunta la direttiva RequiredRSASize, che consente di definire la dimensione minima consentita delle chiavi RSA. In sshd le chiavi di dimensione inferiore verranno ignorate, mentre in ssh porteranno alla terminazione della connessione.
- La versione portabile di OpenSSH è stata aggiornata per utilizzare chiavi SSH per la certificazione delle firme digitali di commit e tag in Git.
- Le direttive SetEnv nei file di configurazione ssh_config e sshd_config ora applicano il valore dalla prima occorrenza della variabile d'ambiente, se definita più volte nella configurazione (in precedenza veniva utilizzata l'ultima occorrenza).
- Quando si chiama l'utilità ssh-keygen con il flag "-A" (generazione di tutti i tipi di chiavi host supportati di default) è stata disattivata la generazione di chiavi DSA, che non vengono più utilizzate di default ormai da diversi anni.
- Nel sftp-server e sftp è implementata l'estensione "users-groups-by-id@openssh.com", che consente al client di richiedere i nomi degli utenti e dei gruppi corrispondenti a un determinato insieme di identificatori digitali (uid e gid). In sftp, questa estensione è utilizzata per visualizzare i nomi nell'output del contenuto della directory.
- Nel sftp-server è implementata l'estensione "home-directory" per espandere i percorsi ~/ e ~user/, alternativa alla precedente proposta per gli stessi scopi dell'estensione "expand-path@openssh.com" (l'estensione "home-directory" è stata proposta per la standardizzazione ed è già supportata da alcuni client).
- In ssh-keygen e sshd è stata aggiunta la possibilità di specificare un tempo in fuso orario UTC nella definizione degli intervalli di validità di certificati e chiavi, oltre all'orario di sistema.
- Nel sftp è consentita la specifica di ulteriori argomenti nell'opzione "-D" (ad esempio, "/usr/libexec/sftp-server -el debug3").
- In ssh-keygen è consentito l'uso del flag "-U" (utilizzo di ssh-agent) insieme alle operazioni "-Y sign" per specificare che le chiavi private sono memorizzate in ssh-agent.
Fonte: opennet.ru
