{"id":144216,"date":"2025-10-06T17:11:54","date_gmt":"2025-10-06T15:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-10-1"},"modified":"2025-10-06T17:11:54","modified_gmt":"2025-10-06T15:11:54","slug":"reliz-openssh-10-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/reliz-openssh-10-1","title":{"rendered":"Rilascio di OpenSSH 10.1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stato rilasciato OpenSSH 10.1, un'implementazione open source di client e server per operare con i protocolli SSH 2.0 e SFTP. <\/p>\n
Principali modifiche: <\/p>\n
\n
\u00c8 stata risolta una vulnerabilit\u00e0 di sicurezza che consentiva a un attaccante di inserire comandi shell tramite l'uso di caratteri speciali nel nome utente o nell'URI, che potevano essere eseguiti durante l'esecuzione di un comando specificato tramite l'impostazione «ProxyCommand» e contenente la sostituzione «%u». Il problema interessa solo i sistemi che consentono, all'avvio di ssh, la sostituzione dei nomi utente o degli URI provenienti da fonti non fidate.\n
Per bloccare attacchi simili, \u00e8 stato vietato l'uso di caratteri di controllo nei nomi utente specificati al momento dell'avvio nella riga di comando o sostituiti nelle impostazioni tramite sequenze %-based. \u00c8 inoltre vietato l'uso del carattere nullo («\0») nell'URI ssh:\/\/. Sono fatte eccezioni solo per i nomi definiti nel file di configurazione (si presume che questi dati siano affidabili). <\/p>\n
Gli strumenti ssh e ssh-agent hanno aggiunto il supporto per le chiavi ed25519, memorizzate nei token PKCS#11.\n
\u00c8 stata aggiunta all'file di configurazione ssh_config l'impostazione RefuseConnection, che, durante l'elaborazione nella sezione attiva, termina il processo mostrando un messaggio di errore senza tentare di stabilire una connessione. Match host foo RefuseConnection «host foo non \u00e8 pi\u00f9 in uso, collegati all'host bar»\n
In ssh e sshd sono stati aggiunti gestori del segnale SIGINFO per registrare nel log informazioni sulla sessione e sul canale attivo.\n
In sshd, in caso di rifiuto dell'autenticazione dell'utente tramite certificato, viene registrata nel log non solo la causa del blocco dell'accesso, ma anche informazioni dettagliate per identificare il certificato problematico.\n
In sshd \u00e8 stata aggiunta una verifica del numero di display X11 rispetto all'offset specificato nella direttiva X11DisplayOffset.\n
Nel set di test unitari sono state aggiunte capacit\u00e0 di misurazione delle prestazioni, attivabili lanciando «make UNITTEST_BENCHMARK=yes» in OpenBSD o «make unit-bench» negli altri sistemi. <\/ul>\n
Modifiche che potrebbero compromettere la compatibilit\u00e0 inversa: <\/p>\n
\n
In ssh, a warning has been added when using a key exchange algorithm that is not resistant to brute-force attacks by quantum computers. The warning has been introduced due to the risk of future attacks utilizing previously captured traffic dumps. To disable the warning, the WarnWeakCrypto option has been added to ssh_config. Match host unsafe.example.com WarnWeakCrypto no\n
In ssh and sshd, the handling of DSCP (IPQoS) quality of service parameters has been significantly changed. For interactive traffic, the EF (Expedited Forwarding) class is now set by default for higher priority handling in wireless networks. For non-interactive traffic, the class is set to the default used by the operating system. The traffic class can be changed using the IPQoS setting in ssh_config and sshd_config. ToS (type-of-service) parameters for IPv4 in the IPQoS directive have been deprecated (DSCP has replaced ToS).\n
In ssh-add, durante l'aggiunta di un certificato all'ssh-agent, \u00e8 stata implementata l'impostazione del tempo di vita del certificato a un valore di 5 minuti superiore alla scadenza del certificato (per la rimozione automatica del certificato scaduto). Per disabilitare questo comportamento, \u00e8 stata aggiunta l'opzione «-N» a ssh-add.\n
Support for XMSS keys has been removed, which was marked as experimental and never enabled by default.\n
Unix sockets created by the ssh-agent and sshd processes have been moved from the \/tmp directory to ~\/.ssh\/agent, ensuring that access to these sockets from isolated processes with restricted filesystem access is impossible, while access to \/tmp remains open. <\/ul>\n