OpenSSH 9.3 шығарылымы, SSH 2.0 және SFTP хаттамалары арқылы жұмыс істеуге арналған клиент пен сервердің ашық іске асырылуы жарияланды. Жаңа нұсқа қауіпсіздік мәселелерін түзетеді:
- ssh-add утилитасында логикалық қате анықталды, соның салдарынан ssh-агентке смарт-карталардың кілттерін қосқанда, «ssh-add -h» опциясы арқылы көрсетілген шектеулер агентке берілмеді. Нәтижесінде агентке кілт қосылды, ол үшін ешқандай шектеулер қолданылмаған, тек белгілі бір хосттардан қосылуға мүмкіндік береді.
- Егер конфигурация файлында VerifyHostKeyDNS параметрі қосылған болса, арнайы пішімделген DNS жауаптарын өңдеу кезінде бөлінген буферден тыс стек аймағынан деректерді оқуға әкелуі мүмкін осалдық ssh утилитасында анықталды. Мәселе сыртқы ldns кітапханасын (-with-ldns) пайдаланбай құрастырылған OpenSSH портативті нұсқаларында және getrrsetbyname() функциясын қолдамайтын стандартты кітапханалары бар жүйелерде қолданылатын getrrsetbyname() функциясының кірістірілген іске асырылуында. ) қоңырау шалыңыз. ssh клиентіне қызмет көрсетуден бас тартуды бастаудан басқа осалдықты пайдалану мүмкіндігі екіталай деп бағаланады.
Бұған қоса, OpenSSH жүйесінде қолданылатын OpenBSD құрамына кіретін libskey кітапханасындағы осалдықты атап өтуге болады. Мәселе 1997 жылдан бері бар және арнайы пішімделген хост атауларын өңдеу кезінде стек буферінің толып кетуіне әкелуі мүмкін. Осалдықтың көрінісін OpenSSH арқылы қашықтан бастауға болатынына қарамастан, іс жүзінде осалдықтың пайдасыз екені атап өтіледі, өйткені ол өзін көрсету үшін шабуылға ұшыраған хосттың (/etc/hostname) атауында келесіден көп болуы керек. 126 таңба және буфер тек нөл коды бар таңбалармен толып кетуі мүмкін ('\0').
Қауіпсіздікке жатпайтын өзгерістерге мыналар жатады:
- "-Ohashalg=sha1|sha256" параметрі үшін ssh-keygen және ssh-keyscan үшін SSHFP түйіндерін көрсету алгоритмін таңдау үшін қосылды.
- sshd белсенді конфигурацияны жеке кілттерді жүктемей-ақ және қосымша тексерулерді орындамай талдау және көрсету үшін «-G» опциясын қосты, бұл конфигурацияны кілт жасау алдында тексеруге және артықшылығы жоқ пайдаланушылардың тексеруін орындауға мүмкіндік береді.
- sshd seccomp және seccomp-bpf жүйелік шақыруды сүзу механизмдерін пайдалану арқылы Linux платформасында оқшаулауды жақсартады. Рұқсат етілген жүйелік қоңыраулар тізіміне mmap, madvise және futex жалаулары қосылды.
Ақпарат көзі: opennet.ru