ವೈರ್ಲೆಸ್ ರೂಟರ್ಗಳು ಮತ್ತು ಓಪನ್ವರ್ಟ್ನಂತಹ ಕಾಂಪ್ಯಾಕ್ಟ್ ವಿತರಣೆಗಳಲ್ಲಿ ಜನಪ್ರಿಯವಾಗಿರುವ SSH ಸರ್ವರ್ ಮತ್ತು ಕ್ಲೈಂಟ್ ಅನ್ನು ಅಭಿವೃದ್ಧಿಪಡಿಸುವ ಡ್ರಾಪ್ಬೇರ್ ಯೋಜನೆಯ 2026.90 ಬಿಡುಗಡೆಯನ್ನು ಪ್ರಕಟಿಸಲಾಗಿದೆ. ಡ್ರಾಪ್ಬೇರ್ ಕಡಿಮೆ ಮೆಮೊರಿ ಬಳಕೆ, ನಿರ್ಮಾಣ ಸಮಯದಲ್ಲಿ ಅನಗತ್ಯ ಕಾರ್ಯವನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವ ಸಾಮರ್ಥ್ಯ ಮತ್ತು ಬ್ಯುಸಿಬಾಕ್ಸ್ನಂತೆಯೇ ಕ್ಲೈಂಟ್ ಮತ್ತು ಸರ್ವರ್ ಎರಡನ್ನೂ ಒಂದೇ ಎಕ್ಸಿಕ್ಯೂಟಬಲ್ನಲ್ಲಿ ನಿರ್ಮಿಸಲು ಬೆಂಬಲವನ್ನು ಹೊಂದಿದೆ. uClibc ನೊಂದಿಗೆ ಸ್ಥಿರವಾಗಿ ಲಿಂಕ್ ಮಾಡಿದಾಗ, ಡ್ರಾಪ್ಬೇರ್ ಎಕ್ಸಿಕ್ಯೂಟಬಲ್ ಕೇವಲ 110 KB ಗಾತ್ರದಲ್ಲಿದೆ. ಡ್ರಾಪ್ಬೇರ್ X11 ಫಾರ್ವರ್ಡ್ ಮಾಡುವಿಕೆಯನ್ನು ಬೆಂಬಲಿಸುತ್ತದೆ, OpenSSH ಕೀ ಫೈಲ್ (~/.ssh/authorized_keys) ನೊಂದಿಗೆ ಹೊಂದಿಕೊಳ್ಳುತ್ತದೆ ಮತ್ತು ಟ್ರಾನ್ಸಿಟ್ ಹೋಸ್ಟ್ ಮೂಲಕ ಫಾರ್ವರ್ಡ್ ಮಾಡುವಿಕೆಯೊಂದಿಗೆ ಬಹು-ಸಂಪರ್ಕಗಳನ್ನು ರಚಿಸಬಹುದು. ಯೋಜನೆಯ ಕೋಡ್ ಅನ್ನು C ನಲ್ಲಿ ಬರೆಯಲಾಗಿದೆ ಮತ್ತು MIT-ತರಹದ ಪರವಾನಗಿ ಅಡಿಯಲ್ಲಿ ವಿತರಿಸಲಾಗುತ್ತದೆ.
ಹೊಸ ಆವೃತ್ತಿಯು ಹಲವಾರು ಭದ್ರತಾ ಸಮಸ್ಯೆಗಳನ್ನು ಪರಿಹರಿಸುತ್ತದೆ:
- ದುರುದ್ದೇಶಪೂರಿತ ಪ್ರೋಗ್ರಾಂಗೆ ಸಂಪರ್ಕಿಸುವಾಗ ಇತರ ಫೈಲ್ಗಳನ್ನು ಓವರ್ರೈಟ್ ಮಾಡಲು ಅನುಮತಿಸುವ scp (CVE-2019-6111) ನಲ್ಲಿನ ದುರ್ಬಲತೆಗೆ ಅಪೂರ್ಣ ಪರಿಹಾರ. ಸರ್ವರ್scp ಬಳಸುವಾಗ ಸರ್ವರ್ ಕ್ಲೈಂಟ್ಗೆ ಯಾವ ಫೈಲ್ಗಳು ಮತ್ತು ಡೈರೆಕ್ಟರಿಗಳನ್ನು ಕಳುಹಿಸಬೇಕೆಂದು ನಿರ್ಧರಿಸುತ್ತದೆ ಮತ್ತು ಕ್ಲೈಂಟ್ ಹಿಂತಿರುಗಿದ ವಸ್ತುವಿನ ಹೆಸರುಗಳನ್ನು ಮಾತ್ರ ಸರಿಯಾಗಿ ಪರಿಶೀಲಿಸುತ್ತದೆ. ಈ ಕ್ಲೈಂಟ್-ಸೈಡ್ ಪರಿಶೀಲನೆಯು ಪ್ರಸ್ತುತ ಡೈರೆಕ್ಟರಿಯ ("../") ಓವರ್ಫ್ಲೋಗಳನ್ನು ತಡೆಯುತ್ತದೆ, ಆದರೆ ಪುನರಾವರ್ತಿತ ನಕಲು (-r) ಸಂದರ್ಭದಲ್ಲಿ, ಮೂಲತಃ ವಿನಂತಿಸಿದ ಹೆಸರುಗಳಿಗಿಂತ ಭಿನ್ನವಾದ ಡೈರೆಕ್ಟರಿಗಳನ್ನು ವರ್ಗಾಯಿಸುವ ಪ್ರಕರಣಗಳನ್ನು ಇದು ನಿರ್ಲಕ್ಷಿಸುತ್ತದೆ. ಅಸ್ತಿತ್ವದಲ್ಲಿರುವ ಗುರಿ ಡೈರೆಕ್ಟರಿಯೊಂದಿಗೆ "-r" ಆಯ್ಕೆಯ ಬಳಕೆಯನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವ ಮೂಲಕ ಈ ಸಮಸ್ಯೆಯನ್ನು ಪರಿಹರಿಸಲಾಗುತ್ತದೆ.
- scp ಉಪಯುಕ್ತತೆಯಲ್ಲಿನ ದುರ್ಬಲತೆ (CVE-2026-35385) "-O" ಆಯ್ಕೆಯೊಂದಿಗೆ ಮತ್ತು "-p" ಆಯ್ಕೆಯಿಲ್ಲದೆ ರೂಟ್ ಸವಲತ್ತುಗಳೊಂದಿಗೆ ಫೈಲ್ ಅನ್ನು ಅಪ್ಲೋಡ್ ಮಾಡಿದ ನಂತರ setuid/setgid ಫ್ಲ್ಯಾಗ್ಗಳನ್ನು ತೆರವುಗೊಳಿಸದಿರಲು ಕಾರಣವಾಯಿತು.
- "-t" ಆಯ್ಕೆಯನ್ನು (ಪಾಸ್ವರ್ಡ್ ಮತ್ತು ಸಾರ್ವಜನಿಕ ಕೀ ಪರಿಶೀಲನೆಯೊಂದಿಗೆ ಲಾಗಿನ್) ಬಳಸಿಕೊಂಡು ದೃಢೀಕೃತ ಬಳಕೆದಾರರಾಗಿ ಸಂಪರ್ಕಿಸುವಾಗ authorized_keys ಸೆಟ್ಟಿಂಗ್ಗಳಲ್ಲಿ "forced_command" ಆಜ್ಞೆಯ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆಯನ್ನು ಬೈಪಾಸ್ ಮಾಡುವ ಸಾಮರ್ಥ್ಯ.
- ಸ್ಥಳೀಯ ಬಳಕೆದಾರರು ಓದುವ ಕಾರ್ಯಾಚರಣೆಗಳನ್ನು ನಿರ್ಬಂಧಿಸುವ authorized_keys ಎಂಬ ವಿಶೇಷ ಫೈಲ್ ಅನ್ನು ರಚಿಸುವ ಮೂಲಕ ಸೇವೆಯನ್ನು ನಿರಾಕರಿಸುವುದು.
- ಕ್ಲೈಂಟ್ ಮತ್ತು ಸರ್ವರ್ ವಿನಂತಿ ಮರುನಿರ್ದೇಶನ ಹ್ಯಾಂಡ್ಲರ್ಗಳನ್ನು ರಚಿಸುವಾಗ ಗಡಿಯ ಹೊರಗಿನ ಪ್ರದೇಶದಿಂದ ಡೇಟಾವನ್ನು ಓದುವುದರಿಂದ ಅನಿಯಂತ್ರಿತ ಫೈಲ್ ವಿವರಣೆಗಳು ಮುಚ್ಚಲ್ಪಡಬಹುದು.
ಭದ್ರತೆಗೆ ಸಂಬಂಧಿಸದ ಬದಲಾವಣೆಗಳು:
- SSH ಸುರಂಗದ ಮೂಲಕ ಯುನಿಕ್ಸ್ ಸಾಕೆಟ್ಗಳನ್ನು ಫಾರ್ವರ್ಡ್ ಮಾಡಲು "-R" ಆಯ್ಕೆಯನ್ನು ssh ಗೆ ಸೇರಿಸಲಾಗಿದೆ.
- ಗರಿಷ್ಠ ಅವಧಿಯ ಅವಧಿಯನ್ನು ಮಿತಿಗೊಳಿಸಲು "-M" ಆಯ್ಕೆಯನ್ನು ssd ಗೆ ಸೇರಿಸಲಾಗಿದೆ.
- ಅನುಮತಿಸಲಾದ ಪೋರ್ಟ್ಗಳನ್ನು ನಿರ್ಬಂಧಿಸಲು "authorized_keys" ಗೆ "permitlisten" ಆಯ್ಕೆಯನ್ನು ಸೇರಿಸಲಾಗಿದೆ.
- ಈ ಉಪಯುಕ್ತತೆಯ dropbearkey 0.32 ಅಥವಾ ಹಿಂದಿನ ಆವೃತ್ತಿಗಳೊಂದಿಗೆ ರಚಿಸಲಾದ RSA ಕೀಗಳಿಗೆ ಬೆಂಬಲವನ್ನು ನಿಲ್ಲಿಸಲಾಗಿದೆ. ಈ ಕೀಗಳು ಕ್ಯಾಶ್ ಮಾಡಿದ ಮತ್ತು ಅನ್ಕ್ಯಾಚ್ ಮಾಡಲಾಗದ ಡೇಟಾದ ನಡುವಿನ ಸಂಸ್ಕರಣಾ ಸಮಯದ ವ್ಯತ್ಯಾಸವನ್ನು ಅಳೆಯುವ ಸೈಡ್-ಚಾನೆಲ್ ದಾಳಿಗೆ ಗುರಿಯಾಗುತ್ತವೆ.
- ಹೋಸ್ಟ್ಗಳ ಮೇಲೆ ಸಾರ್ವಜನಿಕ ಕೀ ಊಹಿಸುವುದನ್ನು ತಡೆಯಲು, ಸಾರ್ವಜನಿಕ ಕೀ ವಿನಂತಿಗಳ ಸಂಖ್ಯೆಯನ್ನು ಪ್ರತಿ ಸೆಷನ್ಗೆ 15 ಪ್ರಯತ್ನಗಳಿಗೆ ಸೀಮಿತಗೊಳಿಸಲಾಗಿದೆ.
ಮೂಲ: opennet.ru
