{"id":144216,"date":"2025-10-06T17:11:54","date_gmt":"2025-10-06T15:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-10-1"},"modified":"2025-10-06T17:11:54","modified_gmt":"2025-10-06T15:11:54","slug":"reliz-openssh-10-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/reliz-openssh-10-1","title":{"rendered":"Rilascio di OpenSSH 10.1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stato rilasciato OpenSSH 10.1, un'implementazione open source del client e del server per il funzionamento con i protocolli SSH 2.0 e SFTP. <\/p>\n
Variazioni principali: <\/p>\n
\n
Risolta una vulnerabilit\u00e0 di sicurezza che consentiva a un attaccante di iniettare comandi shell tramite manipolazioni con caratteri speciali nel nome utente o nell'URI, che potevano essere eseguiti al momento dell'esecuzione del comando specificato tramite l'impostazione «ProxyCommand» e contenente la sostituzione «%u». Il problema riguarda solo i sistemi che consentono, al momento dell'avvio di ssh, la sostituzione dei nomi utente o URI provenienti da fonti non fidate.\n
Per bloccare tali attacchi, \u00e8 vietato l'uso di caratteri di controllo nei nomi utente specificati al momento dell'avvio nella riga di comando o sostituiti nelle impostazioni tramite sequenze di tipo %. \u00c8 inoltre vietato l'uso del carattere nullo («\0») nell'URI ssh:\/\/. L'eccezione \u00e8 fatta solo per i nomi specificati nel file di configurazione (si presume che i dati in questo file di configurazione siano affidabili). <\/p>\n
Nelle utility ssh e ssh-agent \u00e8 stata aggiunta la supporto per le chiavi ed25519 memorizzate in token PKCS#11.\n
Nel file di configurazione ssh_config \u00e8 stata aggiunta l'impostazione RefuseConnection, che interrompe l'elaborazione nella sezione attiva terminando il processo con la visualizzazione di un messaggio di errore senza tentare di stabilire una connessione. Match host foo RefuseConnection «il host foo non \u00e8 pi\u00f9 in uso, connettiti all'host bar»\n
In ssh e sshd sono stati aggiunti gestori del segnale SIGINFO per registrare informazioni sulla sessione e sul canale attivo.\n
In sshd, in caso di mancata autenticazione dell'utente tramite certificato, vengono registrati non solo i motivi del rifiuto, ma anche informazioni dettagliate per identificare il certificato problematico.\n
In sshd \u00e8 stato aggiunto un controllo del numero di visualizzazione X11 rispetto all'offset specificato nella direttiva X11DisplayOffset.\n
Nel set di unit test sono state aggiunte funzionalit\u00e0 per la misurazione delle prestazioni, attivabili avviando «make UNITTEST_BENCHMARK=yes» in OpenBSD o «make unit-bench» negli altri sistemi. <\/ul>\n
Modifiche che potrebbero interrompere la retrocompatibilit\u00e0: <\/p>\n
\n
In ssh, a warning has been added when using a key agreement algorithm that is not resistant to brute-force attacks on quantum computers during the connection setup. The warning has been added due to the risk of future attacks using previously saved traffic dumps. To disable the warning, the WarnWeakCrypto option has been added to ssh_config. Match host unsafe.example.com WarnWeakCrypto no\n
In ssh and sshd, the handling of DSCP (IPQoS) quality of service parameters has been significantly changed. For interactive traffic, the EF (Expedited Forwarding) class is now set by default for more prioritized processing in wireless networks. For non-interactive traffic, the class is set to the default used by the operating system. The traffic class can be changed using the IPQoS setting in ssh_config and sshd_config. ToS (type-of-service) parameters for IPv4 in the IPQoS directive have been deprecated (DSCP has replaced ToS).\n
In ssh-add, durante l'aggiunta di un certificato a ssh-agent, \u00e8 stata implementata la possibilit\u00e0 di impostare il tempo di vita del certificato a un valore superiore di 5 minuti rispetto alla scadenza del certificato (per la rimozione automatica dei certificati scaduti). Per disabilitare questo comportamento, in ssh-add \u00e8 stata aggiunta l'opzione «-N».\n
Support for XMSS keys has been removed, which was marked as experimental and was never enabled by default.\n
Unix sockets created by the ssh-agent and sshd processes have been moved from the \/tmp directory to ~\/.ssh\/agent, which ensures that these sockets cannot be accessed by isolated processes that have restricted access to the filesystem but have access to \/tmp. <\/ul>\n