OpenSSH 9.6-ის გამოშვება დაუცველობის აღმოფხვრით

გამოქვეყნდა OpenSSH 9.6-ის გამოშვება, კლიენტისა და სერვერის ღია დანერგვა SSH 2.0 და SFTP პროტოკოლების გამოყენებით მუშაობისთვის. ახალი ვერსია აფიქსირებს უსაფრთხოების სამ პრობლემას:

• დაუცველობა SSH პროტოკოლში (CVE-2023-48795, „Terrapin“ შეტევა), რომელიც საშუალებას აძლევს MITM შეტევას გააუქმოს კავშირი, გამოიყენოს ნაკლებად უსაფრთხო ავთენტიფიკაციის ალგორითმები და გამორთოს დაცვა გვერდითი არხის შეტევებისგან, რომლებიც ხელახლა ქმნიან შეყვანას შეფერხებების ანალიზით. კლავიატურაზე კლავიშებს შორის. თავდასხმის მეთოდი აღწერილია ცალკე საინფორმაციო სტატიაში.
• დაუცველობა ssh პროგრამაში, რომელიც საშუალებას იძლევა შეიცვალოს თვითნებური გარსის ბრძანებები სპეციალური სიმბოლოების შემცველი შესვლისა და ჰოსტის მნიშვნელობებით მანიპულირების გზით. დაუცველობის ექსპლუატაცია შესაძლებელია, თუ თავდამსხმელი აკონტროლებს შესვლისა და ჰოსტის სახელის მნიშვნელობებს, რომლებიც გადაცემულია ssh, ProxyCommand და LocalCommand დირექტივებში, ან "match exec" ბლოკებს, რომლებიც შეიცავს სიმბოლოებს, როგორიცაა %u და %h. მაგალითად, არასწორი შესვლა და ჰოსტი შეიძლება შეიცვალოს სისტემებში, რომლებიც იყენებენ ქვემოდულებს Git-ში, რადგან Git არ კრძალავს ჰოსტის და მომხმარებლის სახელებში სპეციალური სიმბოლოების მითითებას. მსგავსი დაუცველობა ჩნდება libssh-შიც.
• იყო შეცდომა ssh-agent-ში, სადაც PKCS#11 პირადი გასაღებების დამატებისას შეზღუდვები მოქმედებდა მხოლოდ PKCS#11 ტოკენით დაბრუნებულ პირველ გასაღებზე. პრობლემა არ მოქმედებს ჩვეულებრივ პირად გასაღებებზე, FIDO ჟეტონებზე ან შეუზღუდავ გასაღებებზე.

სხვა ცვლილებები:

• ssh-ს დაემატა „%j“ ჩანაცვლება, რომელიც გაფართოვდა ProxyJump დირექტივის მეშვეობით მითითებულ ჰოსტის სახელში.
• ssh-მ დაამატა მხარდაჭერა კლიენტის მხარეს ChannelTimeout-ის დასაყენებლად, რომელიც შეიძლება გამოყენებულ იქნას არააქტიური არხების შესაწყვეტად.
• დამატებულია მხარდაჭერა ED25519 პირადი გასაღებების წაკითხვისთვის PEM PKCS8 ფორმატში ssh, sshd, ssh-add და ssh-keygen (ადრე მხოლოდ OpenSSH ფორმატი იყო მხარდაჭერილი).
• პროტოკოლის გაფართოება დაემატა ssh-ს და sshd-ს, რათა ხელახლა გადაიჭრას ციფრული ხელმოწერის ალგორითმები საჯარო გასაღების ავთენტიფიკაციისთვის მომხმარებლის სახელის მიღების შემდეგ. მაგალითად, გაფართოების გამოყენებით, შეგიძლიათ შერჩევით გამოიყენოთ სხვა ალგორითმები მომხმარებლებთან მიმართებაში, „Match user“ ბლოკში PubkeyAcceptedAlgorithms-ის მითითებით.
• დაემატა პროტოკოლის გაფართოება ssh-add-ს და ssh-agent სერთიფიკატების დასაყენებლად PKCS#11 გასაღებების ჩატვირთვისას, რაც საშუალებას აძლევს PKCS#11 პირად გასაღებებთან დაკავშირებული სერთიფიკატების გამოყენებას ყველა OpenSSH უტილიტაში, რომელიც მხარს უჭერს ssh-agent-ს და არა მხოლოდ ssh-ს.
• მხარდაჭერილი ან არასტაბილური შემდგენელი დროშების გაუმჯობესებული გამოვლენა, როგორიცაა "-fzero-call-used-regs" ზარის დროს.
• sshd პროცესის პრივილეგიების შესაზღუდად, OpenSolaris-ის ვერსიები, რომლებიც მხარს უჭერენ getpflags() ინტერფეისს, PRIV_LIMIT-ის ნაცვლად იყენებენ PRIV_XPOLICY რეჟიმს.

წყარო: opennet.ru