È stata pubblicata la versione OpenSSH 10.5, un'implementazione open source client e server per l'utilizzo dei protocolli SSH 2.0 e SFTP. Modifiche principali:
- Per l'uso della versione portabile di OpenSSH è ora richiesta la supporto per la crittografia basata su curve ellittiche (ECC - Crittografia a Curva Elittica) nella libreria libcrypto, inclusa la supporto per la curva ellittica NISTP521. Nelle implementazioni di libcrypto dei progetti LibreSSL, OpenSSL, BoringSSL e AWS LC, tale supporto è attivato per default.
- Nell'utility ssh-keygen, durante il reset della password per le chiavi private dei token FIDO, è stata implementata la possibilità di impostare i flag touch-required e verify-required, che richiedono la conferma da parte dell'utente.
- Nell'utility ssh è stato modificato l'ordine di applicazione dei certificati durante l'autenticazione con chiavi pubbliche: ora sono utilizzate per prime le chiavi FIDO che non richiedono azioni da parte dell'utente, mentre in ultima istanza vengono usate le chiavi che richiedono la verifica tramite PIN o biometria.
- È stato aggiunto il comando «ssh -Z user», che mostra le chiavi in ordine di utilizzo per l'autenticazione con chiavi pubbliche.
- Sono state risolte problematiche di sicurezza:
- È stata corretta una gestione non corretta delle richieste di binding della sessione durante il blocco dell'SSH Agent, che portava a consentire operazioni remote, come l'aggiunta di token PKCS#11 e l'utilizzo di chiavi legate a server specifici, invece di rifiutare l'accesso.
- Nel client ssh è stata eliminata una potenziale chiamata alla memoria dopo la sua liberazione (use-after-free), che si manifestava durante la multiplexazione delle connessioni SSH tramite un unico socket nel caso venisse aggiunto un nuovo port forwarding mentre il client attendeva ancora la server risposta per l'apertura del precedente port forwarding.
- Nel sshd è stata stabilita l'applicazione corretta delle restrizioni impostate tramite il flag «restrict» nel file authorized_keys, per i tunnel reindirizzati.
Fonte: opennet.ru
