OpenSSH 9.3 განახლება უსაფრთხოების შესწორებებით

გამოქვეყნდა OpenSSH 9.3, კლიენტისა და სერვერის ღია იმპლემენტაცია SSH 2.0 და SFTP პროტოკოლებზე მუშაობისთვის. ახალი ვერსია აგვარებს უსაფრთხოების პრობლემებს:

• ssh-add უტილიტაში გამოვლინდა ლოგიკური შეცდომა, რის გამოც ssh-agent-ზე სმარტ ბარათის კლავიშების დამატებისას, "ssh-add -h" ოფციონის გამოყენებით მითითებული შეზღუდვები არ გადაეცა აგენტს. შედეგად, აგენტს დაემატა გასაღები, რისთვისაც არ იყო გამოყენებული შეზღუდვები, რომლებიც აძლევდა კავშირებს მხოლოდ გარკვეული ჰოსტებისგან.
• ssh პროგრამაში იდენტიფიცირებულია დაუცველობა, რამაც შეიძლება გამოიწვიოს მონაცემების წაკითხვა დასტიდან გამოყოფილი ბუფერის გარეთ, სპეციალურად შექმნილი DNS პასუხების დამუშავებისას, თუ VerifyHostKeyDNS პარამეტრი შედის კონფიგურაციის ფაილში. პრობლემა არსებობს getrrsetbyname() ფუნქციის ჩაშენებულ განხორციელებაში, რომელიც გამოიყენება OpenSSH-ის პორტატულ ვერსიებში, რომლებიც აგებულია გარე ldns ბიბლიოთეკის გამოყენების გარეშე (--with-ldns) და სისტემებში სტანდარტული ბიბლიოთეკებით, რომლებიც არ უჭერენ მხარს getrrsetbyname-ს. () ზარი. დაუცველობის ექსპლუატაციის შესაძლებლობა, გარდა ssh კლიენტისთვის სერვისზე უარის თქმის ინიცირებისა, შეფასებულია როგორც ნაკლებად სავარაუდო.

გარდა ამისა, დაუცველობა შეიძლება აღინიშნოს libskey ბიბლიოთეკაში, რომელიც შედის OpenBSD-ში, რომელიც გამოიყენება OpenSSH-ში. პრობლემა არსებობს 1997 წლიდან და შეიძლება გამოიწვიოს ბუფერის გადატვირთვა სტეკზე სპეციალურად შექმნილი ჰოსტების სახელების დამუშავებისას. აღნიშნულია, რომ მიუხედავად იმისა, რომ დაუცველობის მანიფესტაციის დაწყება შესაძლებელია დისტანციურად OpenSSH-ის საშუალებით, პრაქტიკაში დაუცველობა გამოუსადეგარია, რადგან მისი გამოვლინებისთვის თავდასხმული ჰოსტის სახელი (/etc/hostname) უნდა შეიცავდეს 126-ზე მეტ სიმბოლოს. და ბუფერის გადატვირთვა შესაძლებელია მხოლოდ სიმბოლოებით null კოდით ('\0').

არაუსაფრთხო ცვლილებებს შორის:

• დაემატა "-Ohashalg=sha1|sha256" პარამეტრის მხარდაჭერა ssh-keygen-სა და ssh-keyscan-ის ასარჩევად SSHFP სნეპშოტების ჩვენების ალგორითმის ასარჩევად.
• დაემატა "-G" ოფცია sshd-ს აქტიური კონფიგურაციის გასაანალიზებლად და საჩვენებლად, პირადი გასაღებების ჩატვირთვის მცდელობისა და დამატებითი შემოწმების გარეშე, რაც საშუალებას იძლევა კონფიგურაციის შემოწმება გასაღების გენერირებამდე და გაშვება არაპრივილეგირებული მომხმარებლების მიერ.
• sshd-ს აქვს გაძლიერებული იზოლაცია Linux პლატფორმაზე seccomp და seccomp-bpf სისტემის ზარის ფილტრაციის მექანიზმების გამოყენებით. დაემატა დროშები mmap-ს, madvise-ს და futex-ს ნებადართული სისტემური ზარების სიაში.

წყარო: opennet.ru