לאחר שלושה חודשי פיתוח, שוחרר OpenSSH 10.4, יישום קוד פתוח של לקוח ושרת עבור פרוטוקולי SSH 2.0 ו-SFTP. השינויים העיקריים כוללים:
- נוספה תמיכה ניסיונית עבור סכימת יצירת החתימה הדיגיטלית המשולבת "mldsa44-ed25519", המשלבת את אלגוריתם הפוסט-קוונטי ML-DSA 44 ואת אלגוריתם העקומה האליפטית Ed25519. כדי לאפשר תמיכה, הוסף "mldsa44-ed25519" להנחיות HostKeyAlgorithms ו-PubkeyAcceptedAlgorithms. כדי ליצור מפתחות, השתמש בפקודה "ssh-keygen -t mldsa44-ed25519".
- ssh ו-sshd משתמשים במימוש חדש של מערכת התאמת התבניות, המבוססת על מכונת מצבים סופית לא דטרמיניסטית ואינה נתונה לבעיית הצמיחה האקספוננציאלית של מורכבות חישובית בעת שימוש במסכות המכילות תווים רבים של '*'.
- התנהגות שונה Linux- בניית sshd עם סינון קריאות מערכת מופעל באמצעות seccomp. בעבר, אירעה קריסה בעת הפעלת SECCOMP או NO_NEW_PRIVS ב- Linux-במערכות ללא התמיכה שלהן, זה יגרום לכתיבת אזהרה ליומן והעבודה תמשיך ללא בידוד, אבל עכשיו זה יגרום לקריסה.
- בעת שימוש באפשרות "sshd -G" בקובץ התצורה, ההנחיות נכתבות כעת באמצעות אותיות גדולות וקטנות, במקום אותיות קטנות בלבד (לדוגמה, "PubkeyAuthentication" במקום "pubkeyauthentication").
- אופן הפעולה של ssh ו-sshd הותאם לתקן RFC 4253: שליחת הודעות שאינן קשורות להחלפת המפתחות במהלך החלפת מפתחות מחדש תגרום כעת לסיום החיבור. בעבר, תוקפים יכלו לבצע התקפת DoS על ידי שליחת הודעות צד שלישי ללא הרף במהלך החלפת המפתחות, אשר נשמרו במאגר. שרת ובזבוז זיכרון.
מספר בעיות אבטחה תוקנו:
- כלי השירות ssh תוקן כדי לטפל בבעיה פוטנציאלית של שימוש לאחר שחרור בעת גישה לקוד זדוני. שרתהבעיה מנוצלת על ידי שינוי מפתח המארח במהלך תהליך החלפת המפתחות מחדש.
- פגיעות ב-SFTP מאפשרת העלאת קובץ לספרייה אחרת בעת גישה לשרת זדוני באמצעות פקודה בצורה "sftp host:/path".
- פגיעות ב-scp מאפשרת, בעת העתקת קבצים בין שני חיצוניים שרתים, שאחד מהם נשלט על ידי התוקף, מארגנים את כתיבת הקבצים לספריית האב, הממוקמת רמה אחת מתחת לספריית היעד.
- תוקנה בעיה ב-sshd שאירעה בעת שימוש במימוש פנימי של שרת SFTP ("internal-sftp"), אשר מושבת כברירת מחדל. הבעיה קשורה לקיצוץ של רצפי שורת פקודה ארוכים לאחר הארגומנט התשיעי, מה שמוביל למחיקת ארגומנטים עוקבים. הדבר עלול לגרום למחיקת אפשרויות הקשורות לאבטחה.
- תוקן באג ב-sshd שבגללו הפקודה "DisableForwarding=yes" לא ביטלה את היכולת ליצור מנהרות המותרות על ידי האפשרות "PermitTunnel=yes" (לא מוגדרת כברירת מחדל).
- תוקנה בעיה ב-sshd שעלולה להיות מנוצלת כדי ליזום מניעת שירות במהלך שלב טרום האימות כאשר הוראת GSSAPIAuthentication מופעלת בהגדרות (מושבת כברירת מחדל). בעיה זו אינה חסומה על ידי מגבלת "MaxAuthTries", אך מכוסה על ידי מגבלת "PerSourcePenalties".
- תוקן באג ב-sshd שמנע הוספה תמידית של העיכוב המינימלי בין ניסיונות אימות.
מקור: OpenNet.ru
