{"id":183658,"date":"2026-10-06T22:53:58","date_gmt":"2026-10-06T20:53:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-openssh-10-6-s-ustraneniem-uyazvimostej"},"modified":"2026-10-06T22:54:02","modified_gmt":"2026-10-06T20:54:02","slug":"openssh-10-6-released-with-vulnerability-fixes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/openssh-10-6-released-with-vulnerability-fixes","title":{"rendered":"Uscita di OpenSSH 10.6 con correzioni di vulnerabilit\u00e0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata pubblicata la versione OpenSSH 10.6, un'implementazione open source del client e del server per lavorare con i protocolli SSH 2.0 e SFTP. Sono stati risolti problemi di sicurezza, la maggior parte dei quali sono stati identificati attraverso l'analisi del codice utilizzando strumenti AI (i codici CVE non sono stati assegnati): <\/p>\n
\n
Una vulnerabilit\u00e0 in sftp consente di scrivere un file al di fuori della directory di destinazione quando si accede a un server controllato da malintenzionati.\n
Due vulnerabilit\u00e0 nell'implementazione di GSSAPI in sshd, causate dal salvataggio dello stato tra i vari tentativi di autenticazione. Le credenziali GSSAPI potevano essere mantenute dopo un tentativo di autenticazione non riuscito e riutilizzate dopo un successivo tentativo di autenticazione riuscito. I problemi si manifestano quando \u00e8 attivata l'impostazione GSSAPIAuthentication.\n
In sshd e ssh \u00e8 stata disabilitata la compressione LZ77 a causa della possibilit\u00e0 di attacchi tramite canali secondari, che consentono di recuperare il contenuto da un'altra sessione quando ci si connette tramite una connessione multipla condivisa con la vittima, approfittando del fatto che i dati controllati dai malintenzionati influenzano la lunghezza totale dei messaggi cifrati trasmessi (LZ77 sostituisce le righe ripetute con riferimenti in un buffer comune a tutti i canali).\n
Nell'utilit\u00e0 ssh \u00e8 vietato utilizzare i caratteri \u2018$\u2019 e \u2018\u2019 nei nomi utente inseriti nella riga di comando, poich\u00e9 potrebbero consentire l'esecuzione di codice durante la sostituzione dei nomi nelle direttive ProxyCommand e Match exec specificate nelle impostazioni.\n
In ssh-keygen \u00e8 stata corretta la gestione errata dell'ora legale, che portava a uno spostamento di un'ora nella scadenza dei certificati.\n
Per bloccare la creazione di zip-bomb in sshd e ssh \u00e8 stata aggiunta una verifica del superamento della dimensione massima del pacchetto durante l'estrazione dei dati.\n
In sshd \u00e8 stato risolto un problema che consentiva di aggirare le restrizioni della parola chiave \u00abrestrict\u00bb nel file authorized_keys, che non veniva applicata ai tunnel (PermitTunnel).\n
In sshd \u00e8 stata corretta l'analisi errata dell'opzione \u00abnone\u00bb all'interno dei blocchi Match, che in alcune direttive, come AuthorizedPrincipalsFile, veniva interpretata come nome del file anzich\u00e9 come segnale per disattivare la direttiva.\n
In sshd \u00e8 stata risolta la mancanza di ripristino dei privilegi root su piattaforme che non supportano la trasmissione di descrittori di file e richiedono privilegi root per l'allocazione del PTY. Il problema si manifesta in QNX 6, SCO OpenServer 5 e durante la compilazione con l'opzione \u00ab--disable-fd-passing\u00bb. <\/ul>\n
Modifiche non correlate a vulnerabilit\u00e0: <\/p>\n
\n
\u00c8 stata attivata la supporto per l'algoritmo ibrido di crittografia ssh-mldsa44-ed25519, resistente agli attacchi da computer quantistici.\n
In sshd_config \u00e8 stata implementata e abilitata di default l'opzione WarnWeakCrypto per gestire l'output di avvisi sull'installazione di connessioni utilizzando algoritmi di scambio di chiavi non resistenti agli attacchi da computer quantistici.\n
In ssh-keygen e ssh-add \u00e8 stata implementata una verifica della politica credProtect nei credenziali per soddisfare i requisiti di verifica (PIN o biometria) prima dell'accesso alle chiavi residenziali sui token FIDO.\n
In ssh-add \u00e8 stata aggiunta l'opzione \u00ab-P\u00bb per saltare l'immissione opzionale del PIN per i token FIDO e PKCS#11.\n
In ssh il comando ~I \u00e8 stata implementata l'uscita delle informazioni sulle versioni nei sistemi locale e remoto.\n
In sftp, ai comandi mkdir\/lmkdir \u00e8 stata aggiunta l'opzione \u2018-p\u2019 per creare directory se necessario.\n
In ssh-keygen \u00e8 stata aggiunta la modalit\u00e0 \u00abhexdump\u00bb per esportare le chiavi in forma di dump esadecimali (ad esempio, per l'inserimento nella documentazione).\n
In ssh e sshd nella direttiva ChannelTimeout \u00e8 stato consentito di specificare timeout con precisione al millisecondo.\n
In sshd \u00e8 stata aggiunta l'opzione AgentSocketPath per specificare il percorso per $SSH_AUTH_SOCK durante il forwarding dell'agente (ad esempio, user:.ssh\/agent per sottodirectory in $HOME e shared:\/tmp per directory condivise).\n
In ssh-agent \u00e8 stata aggiunta l'opzione \u00ab-A\u00bb per specificare le directory con i socket dell'agente, in cui \u00e8 consentito indicare i prefissi \u00abuser:\u00bb e \u00abshared:\u00bb, come nell'opzione AgentSocketPath.\n
In sshd, il controllo delle chiavi pubbliche \u00e8 stato separato dai tentativi di autenticazione. \u00c8 stata aggiunta l'opzione \u00abPubkeyOptions max-pk-ok:nnnn\u00bb per configurare il numero massimo di tentativi di verifica delle chiavi pubbliche (di default 6), dopo i quali la connessione verr\u00e0 interrotta per il limite MaxAuthTries.\n
In ssh e sshd, nell'opzione TCPKeepAlive \u00e8 stata aggiunta la supporto per il valore \u00aball\u00bb, che include l'invio di pacchetti keepalive non solo per la connessione principale, ma anche per le connessioni inoltrate attraverso di essa. <\/ul>\n