OpenSSH 10.4 ხელმისაწვდომია

სამთვიანი შემუშავების შემდეგ, გამოვიდა OpenSSH 10.4, ღია კოდის კლიენტისა და სერვერის იმპლემენტაცია SSH 2.0 და SFTP პროტოკოლებისთვის. ძირითადი ცვლილებები მოიცავს:

• ექსპერიმენტული მხარდაჭერა დაემატა „mldsa44-ed25519“ კომბინირებული ციფრული ხელმოწერის გენერირების სქემას, რომელიც აერთიანებს ML-DSA 44 პოსტკვანტურ ალგორითმს და Ed25519 ელიფსური მრუდის ალგორითმს. მხარდაჭერის ჩასართავად, HostKeyAlgorithms და PubkeyAcceptedAlgorithms დირექტივებს დაამატეთ „mldsa44-ed25519“. გასაღებების გენერირებისთვის გამოიყენეთ ბრძანება „ssh-keygen -t mldsa44-ed25519“.
• ssh და sshd იყენებენ შაბლონების შესაბამისობის სისტემის ახალ იმპლემენტაციას, რომელიც დაფუძნებულია არადეტერმინისტულ სასრული მდგომარეობის მანქანაზე და არ ექვემდებარება გამოთვლითი სირთულის ექსპონენციალური ზრდის პრობლემას მრავალი '*' სიმბოლოს შემცველი ნიღბების გამოყენებისას.
• შეცვლილი ქცევა Linux- sshd აწყობილია seccomp-ის გამოყენებით ჩართული სისტემური ზარების ფილტრაციით. ადრე, SECCOMP-ის ან NO_NEW_PRIVS-ის გააქტიურებისას ხდებოდა ავარია. Linux- მათი მხარდაჭერის გარეშე სისტემებზე, ეს გამოიწვევს გაფრთხილების ჩაწერას ჟურნალში და მუშაობის გაგრძელებას იზოლაციის გარეშე, მაგრამ ახლა ეს გამოიწვევს კრახს.
• კონფიგურაციის დამპში „sshd -G“ ოფციის გამოყენებისას, დირექტივები ახლა იწერება დიდი და პატარა ასოებით, მხოლოდ პატარა ასოების ნაცვლად (მაგ. „pubkeyAuthentication“ „pubkeyauthentication“-ის ნაცვლად).
• ssh-ისა და sshd-ის ქცევა RFC 4253-თან შესაბამისობაში მოიყვანეს: გასაღების ხელახალი გაცვლის დროს გასაღების გაცვლასთან დაუკავშირებელი შეტყობინებების გაგზავნა ახლა კავშირის შეწყვეტას გამოიწვევს. ადრე თავდამსხმელებს შეეძლოთ DoS შეტევის განხორციელება გასაღების გაცვლის დროს მესამე მხარის შეტყობინებების დაუსრულებლად გაგზავნით, რომლებიც ბუფერიზებული იყო. სერვერი და ტყუილად დახარჯული მეხსიერება.

უსაფრთხოების რამდენიმე პრობლემა გამოსწორდა:

• ssh უტილიტა გამოსწორდა, რათა მოგვარებულიყო მავნე კოდზე წვდომის დროს გამოყენების შემდეგ წარმოქმნილი პოტენციური პრობლემა. სერვერიპრობლემას იყენებენ ჰოსტის გასაღების შეცვლით გასაღების ხელახალი გაცვლის პროცესში.
• SFTP-ის დაუცველობა საშუალებას იძლევა ფაილი სხვა დირექტორიაში ატვირთოთ მავნე სერვერზე წვდომისას „sftp host:/path“ ფორმის ბრძანების გამოყენებით.
• scp-ში არსებული დაუცველობა საშუალებას იძლევა, ფაილების ორ გარე მოწყობილობას შორის კოპირებისას სერვერები, რომელთაგან ერთ-ერთს თავდამსხმელი აკონტროლებს, ორგანიზებას უწევს ფაილების ჩაწერას მშობელ დირექტორიაში, რომელიც მდებარეობს სამიზნე დირექტორიიდან ერთი დონით ქვემოთ.
• გამოსწორდა sshd-ში პრობლემა, რომელიც წარმოიშვა შიდა SFTP სერვერის იმპლემენტაციის („internal-sftp“) გამოყენებისას, რომელიც ნაგულისხმევად გამორთულია. პრობლემა დაკავშირებულია მე-9 არგუმენტის შემდეგ ბრძანების ხაზის გრძელი თანმიმდევრობების შემოკლებასთან, რაც იწვევს შემდგომი არგუმენტების გაუქმებას. ამან პოტენციურად შეიძლება გამოიწვიოს უსაფრთხოებასთან დაკავშირებული პარამეტრების გაუქმება.
• sshd-ში გამოსწორდა შეცდომა, რის გამოც „DisableForwarding=yes“ დირექტივა არ თიშავდა „PermitTunnel=yes“ ოფციით დაშვებულ გვირაბების შექმნის შესაძლებლობას (ნაგულისხმევად არ არის დაყენებული).
• გამოსწორდა sshd-ში არსებული პრობლემა, რომლის გამოყენებაც შეიძლებოდა წინასწარი ავტორიზაციის ფაზაში მომსახურების უარყოფის დასაწყებად, როდესაც პარამეტრებში ჩართულია GSSAPIAuthentication დირექტივა (ნაგულისხმევად გამორთულია). ეს პრობლემა არ იბლოკება „MaxAuthTries“ ლიმიტით, მაგრამ დაფარულია „PerSourcePenalties“ ლიმიტით.
• გამოსწორდა sshd-ში შეცდომა, რომელიც ხელს უშლიდა ავტორიზაციის მცდელობებს შორის მინიმალური დაყოვნების მუდმივად დამატებას.

წყარო: opennet.ru