OpenSSH 10.6 გამოვიდა დაუცველობის გამოსწორებით

OpenSSH 10.6, SSH 2.0-ისა და SFTP-ის ღია კოდის კლიენტისა და სერვერის იმპლემენტაცია, გამოვიდა. უსაფრთხოების პრობლემები, რომელთა უმეტესობა ხელოვნური ინტელექტის ინსტრუმენტების გამოყენებით კოდის ანალიზით იქნა გამოვლენილი, მოგვარდა (CVE იდენტიფიკატორები არ არის მინიჭებული):

• SFTP-ის დაუცველობა საშუალებას იძლევა, ფაილი ჩაიწეროს სამიზნე დირექტორიის გარეთ, თავდამსხმელების მიერ კონტროლირებად სერვერზე წვდომისას.
• sshd-ში GSSAPI იმპლემენტაციაში ორი დაუცველობა გამოწვეული იყო ავთენტიფიკაციის მცდელობებს შორის მდგომარეობის მუდმივობით. GSSAPI ავტორიზაციის მონაცემები შეიძლება შენარჩუნდეს წარუმატებელი ავთენტიფიკაციის მცდელობის შემდეგ და გამოყენებული იქნას შემდგომი წარმატებული ავთენტიფიკაციის მცდელობის შემდეგ. პრობლემები თავს იჩენს, როდესაც ჩართულია GSSAPIAuthentication პარამეტრი.
• LZ77 შეკუმშვის მხარდაჭერა გამორთულია sshd-სა და ssh-ში გვერდითი არხის შეტევის შესაძლებლობის გამო, რომელიც საშუალებას იძლევა აღდგეს კონტენტი სხვა სესიიდან, როდესაც დაკავშირებულია მსხვერპლთან საერთო მულტიპლექსური კავშირის საშუალებით, იმ ფაქტის გამოყენებით, რომ თავდამსხმელის მიერ კონტროლირებადი შეყვანა გავლენას ახდენს გადაცემული დაშიფრული შეტყობინებების საერთო სიგრძეზე (LZ77 ცვლის განმეორებით სტრიქონებს ყველა არხის მიერ გაზიარებულ ბუფერში მითითებებით).
• ssh პროგრამა კრძალავს ბრძანების ხაზზე შეყვანილ მომხმარებლის სახელებში '$' და '\' სიმბოლოების გამოყენებას, რადგან მათი გამოყენება შესაძლებელია კოდის შესასრულებლად პარამეტრებში მითითებულ ProxyCommand და Match exec დირექტივებში სახელების ჩანაცვლებისას.
• ssh-keygen-ში გამოსწორდა ზაფხულის დროის არასწორი დამუშავება, რამაც სერტიფიკატის ვადის გასვლის თარიღი 1 საათით გადაწია.
• sshd-სა და ssh-ში zip-ბომბების შექმნის დაბლოკვის მიზნით, დაემატა შემოწმება მონაცემების გახსნისას პაკეტის მაქსიმალური ზომის გადაჭარბების შესახებ.
• sshd-ში მოგვარდა პრობლემა, სადაც authorized_keys ფაილში „restrit“ საკვანძო სიტყვის შეზღუდვა გვერდის ავლით ხდებოდა და გვირაბებზე (PermitTunnel) არ გამოიყენებოდა.
• sshd-ში, Match ბლოკებში „none“ ოფცია აღარ ანალიზდებოდა არასწორად, რაც ზოგიერთ დირექტივაში, მაგალითად AuthorizedPrincipalsFile-ში, განიმარტებოდა როგორც ფაილის სახელი და არა როგორც მითითება იმისა, რომ დირექტივა გამორთული იყო.
• გამოსწორდა sshd-ში შეცდომა, რომლის გამოც root უფლებები არ იყო გასუფთავებული იმ პლატფორმებზე, რომლებიც არ უჭერენ მხარს ფაილის აღწერის გადაცემას და PTY-ს გამოყოფისთვის root პრივილეგიებს საჭიროებენ. ეს პრობლემა წარმოიქმნება QNX 6-ში, SCO OpenServer 5-ში და "--disable-fd-passing" ოფციით შექმნისას.

დაუცველობასთან დაკავშირებული ცვლილებები:

• ჩართულია ssh-mldsa44-ed25519 ჰიბრიდული კრიპტოგრაფიული ალგორითმის მხარდაჭერა, რომელიც მდგრადია კვანტურ კომპიუტერებზე უხეში ძალის გამოყენებით განხორციელებული შეტევების მიმართ.
• WarnWeakCrypto ოფცია ნაგულისხმევად დანერგილი და ჩართულია sshd_config-ში, რათა გააკონტროლოს, გამოჩნდება თუ არა გაფრთხილებები კავშირის დამყარებისას კვანტური წინააღმდეგობის გარეშე გასაღებების შეთანხმების ალგორითმების გამოყენებით.
• ssh-keygen და ssh-add ახორციელებენ credProtect პოლიტიკას, რათა FIDO ტოკენებზე რეზიდენტ გასაღებებზე წვდომამდე შეამოწმონ ავტორიზაციის მონაცემები დადასტურების მოთხოვნების (PIN კოდი ან ბიომეტრიული მონაცემები) დასაკმაყოფილებლად.
• ssh-add-ს დაემატა „-P“ დროშა, რათა გამოტოვოთ FIDO და PKCS#11 ტოკენებისთვის PIN კოდის შეყვანის არჩევითი წესით შეყვანა.
• Ssh-ში, ~I ბრძანება აჩვენებს ინფორმაციას ლოკალურ და დისტანციურ სისტემებზე არსებული ვერსიების შესახებ.
• Sftp-ში, mkdir/lmkdir ბრძანებებს დაემატა '-p' დროშა, რათა საჭიროების შემთხვევაში შეიქმნას დირექტორიები.
• ssh-keygen-ს დაემატა „hexdump“ რეჟიმი, რომელიც გასაღებებს თექვსმეტობითი დემპების სახით ექსპორტისთვის (მაგალითად, დოკუმენტაციაში ჩასასმელად) უზრუნველყოფს.
• ssh-სა და sshd-ში ChannelTimeout დირექტივა საშუალებას გაძლევთ მიუთითოთ ტაიმ-აუტები წამის სიზუსტით.
• sshd-ს დაემატა AgentSocketPath ოფცია, რათა განისაზღვროს $SSH_AUTH_SOCK-ისკენ მიმავალი გზა აგენტის გადამისამართებისას (მაგ. user:.ssh/agent $HOME-ში არსებული ქვედირექტორიებისთვის და shared:/tmp გაზიარებული დირექტორიებისთვის).
• ssh-აგენტს აქვს „-A“ დროშა აგენტის სოკეტების მქონე დირექტორიების მითითებისთვის, რაც საშუალებას იძლევა მიეთითოს „user:“ და „shared:“ პრეფიქსები, როგორც ეს AgentSocketPath ოფციაშია.
• sshd-ში საჯარო გასაღების დადასტურება ახლა გამოყოფილია ავტორიზაციის მცდელობებისგან. დაემატა „PubkeyOptions max-pk-ok:nnnn“ ოფცია საჯარო გასაღების დადასტურების მცდელობების რაოდენობის (ნაგულისხმევად 6) კონფიგურაციისთვის, რის შემდეგაც კავშირი შეწყდება MaxAuthTries ლიმიტის მიხედვით.
• ssh-სა და sshd-ში TCPKeepAlive ოფცია ახლა მხარს უჭერს „all“ მნიშვნელობას, რაც საშუალებას იძლევა keepalive პაკეტების გაგზავნა არა მხოლოდ ძირითადი კავშირისთვის, არამედ მისი მეშვეობით გადაგზავნილი კავშირებისთვისაც.

წყარო: opennet.ru