🥇OpenSSH 10.3 გამოშვება

ექვსთვიანი შემუშავების შემდეგ, გამოვიდა OpenSSH 10.3, კლიენტის ღია კოდის იმპლემენტაცია. სერვერი SSH 2.0 და SFTP პროტოკოლებთან გამოსაყენებლად. ძირითადი ცვლილებები:

გამოსწორდა დაუცველობა, რომლის გამოც თავდამსხმელს, რომელსაც ssh პროგრამის გაშვებისას გადაცემული მომხმარებლის სახელის კონტროლი აქვს, პოტენციურად შეეძლო თვითნებური shell ბრძანებების შესრულება. დაუცველობა გვხვდება სისტემებში, რომლებიც იყენებენ „%u“ ჩანაცვლებას კონფიგურაციის ფაილის გარკვეულ დირექტივებში, მაგალითად, „Match exec“. პრობლემა გამოწვეულია მომხმარებლის სახელში სპეციალური სიმბოლოების ვალიდაციით მას შემდეგ, რაც ssh_config კონფიგურაციის ფაილში %-ჩანაცვლებები შესრულდება.
გამოსწორდა sshd-ში უსაფრთხოების პრობლემა, რომელიც გამოწვეული იყო authorized_keys principals="" ოფციის სერტიფიკატში სახელების (principals) სიასთან არასწორი შესაბამისობით, როდესაც სახელები შეიცავს "," სიმბოლოს. დაუცველობის ექსპლუატაციისთვის საჭიროა authorized_keys principals="" ოფციაში მითითებული მრავალი სახელი და CA-ს მიერ სერტიფიკატის გაცემა მძიმით გამოყოფილი მრავალი სახელით (ეს ჩვეულებრივ არ არის დაშვებული). შეიცვალა ცარიელი სახელის მქონე სერტიფიკატების ქცევა: ადრე, ცარიელი სახელი დაფარული იყო ყველა authorized_keys principals="" ოფციით, მაგრამ ახლა ის აღარ არის დაფარული.
გამოსწორდა scp-ში პრობლემა, რის გამოც ფაილის root-ად ატვირთვა -O ოფციით და -p ოფციის გარეშე არ ასუფთავებდა setuid/setgid ფლაგებს.
sshd-ში გამოსწორდა PubkeyAcceptedAlgorithms და HostbasedAcceptedAlgorithms დირექტივებში ECDSA გასაღებების დამუშავებასთან დაკავშირებული პრობლემა, რის გამოც, თუ რომელიმე ECDSA ალგორითმი მითითებული იქნებოდა (მაგალითად, „ecdsa-sha2-nistp384“), ყველა სხვა ECDSA-ზე დაფუძნებული ალგორითმიც მიღებული იქნებოდა, მაშინაც კი, თუ ისინი ცალსახად არ იქნებოდა ჩამოთვლილი, როგორც მისაღები.
SSH აგენტებთან ურთიერთქმედებისას, ssh და sshd ახლა მხარს უჭერენ IANA-ს მიერ draft-ietf-sshm-ssh-agent სპეციფიკაციაში განსაზღვრულ იდენტიფიკატორებს (კოდურ წერტილებს). შენარჩუნებულია ადრე გამოყენებული იდენტიფიკატორების, როგორიცაა „@openssh.com“, მხარდაჭერა.
ssh-agent ახორციელებს draft-ietf-sshm-ssh-agent სპეციფიკაციაში განსაზღვრული „query“ გაფართოებას, რომელიც საშუალებას იძლევა განისაზღვროს აგენტის მიერ მხარდაჭერილი ფუნქციები. ssh-add პროგრამას დაემატა „-Q“ ოფცია მხარდაჭერილი პროტოკოლის გაფართოებების სიის შესამოწმებლად.
sshd_config-ში RevokedKeys დირექტივაში შესაძლებელია მრავალი ფაილის მითითება, ხოლო ssh_config-ში RevokedHostKeys დირექტივაში შესაძლებელია მრავალი ფაილის მითითება.
SSH-ს ახლა აქვს escape ბრძანება „~I“ და ოფცია „-O conninfo“ მიმდინარე კავშირის შესახებ ინფორმაციის საჩვენებლად, ასევე ოფცია „-O channels“ ღია არხების შესახებ ინფორმაციის საჩვენებლად.
sshd-ში, PerSourcePenalties დირექტივა ახლა მოიცავს „invaliduser“-ის ოფციას, რომელიც არარსებული მომხმარებლით შესვლის მცდელობისას დაყოვნების (ნაგულისხმევი 5 წამი) დამატებას უზრუნველყოფს. დაემატა არამთელი რიცხვის დაყოვნების მნიშვნელობების მითითების შესაძლებლობა.
sshd-ში დაემატა GSSAPIDelegateCredentials ოფცია, რათა გაკონტროლდეს კლიენტის მიერ მოწოდებული დელეგირებული სერთიფიკატების მიღება.
ssh-keygen ახლა მხარს უჭერს ED25519 გასაღებების ჩაწერას PKCS8 ფორმატში.
დაემატა ed25519 ციფრული ხელმოწერის სქემის მხარდაჭერა, რომელიც დანერგილია libcrypto-ს მეშვეობით.