ການປ່ອຍ OpenSSH 9.8 ດ້ວຍການປິດການໃຊ້ງານລະບົບ DSA ແລະກົນໄກຄວາມປອດໄພເພີ່ມເຕີມ

ການປ່ອຍ OpenSSH 9.8 ໄດ້ຖືກຈັດພີມມາ, ການປະຕິບັດແບບເປີດຂອງລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍສໍາລັບການເຮັດວຽກໂດຍໃຊ້ໂປໂຕຄອນ SSH 2.0 ແລະ SFTP. ນອກເຫນືອຈາກການແກ້ໄຂຊ່ອງໂຫວ່ທີ່ສໍາຄັນທີ່ປະກາດແຍກຕ່າງຫາກ (CVE-2024-6387), ເຊິ່ງອະນຸຍາດໃຫ້ປະຕິບັດລະຫັດຫ່າງໄກສອກຫຼີກດ້ວຍສິດທິຂອງຮາກໃນຂັ້ນຕອນການພິສູດຢືນຢັນກ່ອນ, ສະບັບໃຫມ່ໄດ້ແກ້ໄຂຊ່ອງໂຫວ່ທີ່ເປັນອັນຕະລາຍຫນ້ອຍອີກແລະສະເຫນີການປ່ຽນແປງທີ່ສໍາຄັນຈໍານວນຫນຶ່ງເພື່ອແນໃສ່ປັບປຸງຄວາມປອດໄພ.

ຊ່ອງໂຫວ່ທີສອງອະນຸຍາດໃຫ້ທ່ານຂ້າມການປົກປ້ອງທີ່ເພີ່ມໃສ່ໃນ OpenSSH 9.5 ຕໍ່ກັບການໂຈມຕີທາງຂ້າງທີ່ວິເຄາະຄວາມລ່າຊ້າລະຫວ່າງການກົດແປ້ນພິມໃນແປ້ນພິມເພື່ອສ້າງການປ້ອນຂໍ້ມູນຄືນໃໝ່. ຊ່ອງໂຫວ່ຊ່ວຍໃຫ້ພວກເຮົາຈໍາແນກແພັກເກັດທີ່ສ້າງກິດຈະກໍາພື້ນຫລັງໂດຍການຈໍາລອງການກົດແປ້ນພິມທີ່ສົມມຸດຕິຖານຈາກແພັກເກັດທີ່ສົ່ງໄປໃນເວລາທີ່ກົດປຸ່ມຈິງ, ເຊິ່ງຫຼຸດລົງປະສິດທິພາບຂອງກົນໄກສໍາລັບການເຊື່ອງລັກສະນະການໂຕ້ຕອບໃນການຈະລາຈອນໃນ ssh. ຂໍ້ມູນການກົດແປ້ນພິມເຮັດໃຫ້ການໂຈມຕີທີ່ສ້າງການປ້ອນຂໍ້ມູນຄືນໃໝ່ໂດຍການວິເຄາະຄວາມລ່າຊ້າລະຫວ່າງການກົດແປ້ນພິມໃນຂະນະພິມ, ເຊິ່ງຂຶ້ນກັບຮູບແບບຂອງປຸ່ມເທິງແປ້ນພິມ (ຕົວຢ່າງ, ການຕອບສະໜອງເມື່ອພິມຕົວອັກສອນ “F” ແມ່ນໄວກວ່າເວລາພິມ “Q” ຫຼື “. X”, ດັ່ງນັ້ນການກົດຕ້ອງການການເຄື່ອນໄຫວນິ້ວມືຫນ້ອຍ).

ນອກຈາກນັ້ນ, ມັນໄດ້ຫັນອອກວ່າ algorithm ທີ່ຖືກປະຕິບັດສໍາລັບການສົ່ງແພັກເກັດທີ່ມີການຄລິກທີ່ແທ້ຈິງແລະ fictitious ຫຼຸດລົງຄວາມຫນ້າເຊື່ອຖືຂອງວິທີການປ້ອງກັນການໂຈມຕີທາງຂ້າງອື່ນ. ນັບຕັ້ງແ​​ຕ່ປ່ອຍ
ເຊີບເວີ OpenSSH 2.9.9 ສົ່ງແພັກເກັດທີ່ມີການຄລິກທີ່ສົມມຸດຕິຖານສຳລັບການປ້ອນເຂົ້າຂອງຄອນໂຊນໃນຮູບແບບ echo-off, ໃຊ້, ຕົວຢ່າງ, ເມື່ອໃສ່ລະຫັດຜ່ານໃນ su ຫຼື sudo. ເຫດຜົນໃຫມ່ສໍາລັບການສົ່ງແພັກເກັດປອມເຮັດໃຫ້ມັນເປັນໄປໄດ້, ໃນລະຫວ່າງການວິເຄາະການຈະລາຈອນຕົວຕັ້ງຕົວຕີ, ເພື່ອເລືອກແພັກເກັດທີ່ມີການຄລິກທີ່ແທ້ຈິງໃນຮູບແບບ echo-off ສໍາລັບການວິເຄາະແຍກຕ່າງຫາກຂອງພວກເຂົາ. ໃນຂະນະດຽວກັນ, ຄວາມຖືກຕ້ອງຂອງຂໍ້ມູນກ່ຽວກັບເວລາຂອງການຄລິກແມ່ນຖືກຈໍາກັດ, ນັບຕັ້ງແຕ່ການພິມ, packets ບໍ່ໄດ້ຖືກສົ່ງທັນທີ, ແຕ່ໃນໄລຍະເວລາຄົງທີ່ (20 ms ໂດຍຄ່າເລີ່ມຕົ້ນ).

ການປ່ຽນແປງອື່ນໆໃນ OpenSSH 9.8:

• ໃນຂັ້ນຕອນການກໍ່ສ້າງ, ການສະຫນັບສະຫນູນລາຍເຊັນດິຈິຕອນໂດຍອີງໃສ່ລະບົບ DSA ຖືກປິດໃຊ້ງານໂດຍຄ່າເລີ່ມຕົ້ນ. ການປະຕິບັດ DSA ຈະຖືກລຶບອອກຈາກຖານລະຫັດໃນຕົ້ນປີ 2025. ເຫດຜົນສໍາລັບການລຶບແມ່ນອ້າງເຖິງລະດັບການປົກປ້ອງໃນ DSA ທີ່ບໍ່ຕອບສະຫນອງຄວາມຕ້ອງການທີ່ທັນສະໄຫມ. ຄ່າໃຊ້ຈ່າຍໃນການສືບຕໍ່ຮັກສາ algorithm DSA ທີ່ບໍ່ປອດໄພແມ່ນບໍ່ຄຸ້ມຄ່າ, ແລະການໂຍກຍ້າຍຂອງມັນຈະສົ່ງເສີມການປະຕິເສດການສະຫນັບສະຫນູນ DSA ໃນການປະຕິບັດ SSH ອື່ນໆແລະຫ້ອງສະຫມຸດ cryptographic.
• ເພື່ອປົກປ້ອງຕື່ມອີກຈາກວິທີການຂູດຮີດທີ່ຕ້ອງການການເຊື່ອມຕໍ່ກັບ sshd ເປັນຈຳນວນຫຼວງຫຼາຍ, ໂໝດປ້ອງກັນໃໝ່ໄດ້ຖືກຈັດຕັ້ງປະຕິບັດ ແລະ ເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນ. ໂໝດນີ້ຍັງຊ່ວຍປ້ອງກັນການໂຈມຕີແບບຄາດເດົາລະຫັດຜ່ານອັດຕະໂນມັດ, ເຊິ່ງບອທ໌ພະຍາຍາມຄາດເດົາລະຫັດຜ່ານຂອງຜູ້ໃຊ້ໂດຍການລອງໃຊ້ການປະສົມປະສານທົ່ວໄປຕ່າງໆ. ການປ້ອງກັນນີ້ແມ່ນຈັດຕັ້ງປະຕິບັດຜ່ານການບລັອກ. ທີ່ຢູ່ IP, ເຊິ່ງບັນທຶກຈຳນວນຄວາມພະຍາຍາມເຊື່ອມຕໍ່ທີ່ລົ້ມເຫຼວເປັນຈຳນວນຫຼວງຫຼາຍ, sshd ຕິດຕາມສະຖານະການຢຸດຕິຂອງຂະບວນການລູກ, ກວດພົບສະຖານະການທີ່ການພິສູດຢືນຢັນລົ້ມເຫລວ ຫຼື ຂະບວນການຖືກຢຸດຕິຢ່າງຜິດປົກກະຕິຍ້ອນການຂັດຂ້ອງ. ເມື່ອເກີນຂອບເຂດທີ່ແນ່ນອນ, ມັນຈະເລີ່ມບລັອກການຮ້ອງຂໍຈາກ IP ຫຼື subnet ທີ່ມີບັນຫາ. ພາລາມິເຕີ PerSourcePenalties, PerSourceNetBlockSize, ແລະ PerSourcePenaltyExemptList ແມ່ນມີໃຫ້ສຳລັບການຕັ້ງຄ່າຂອບເຂດການບລັອກ, ໜ້າກາກ subnet ທີ່ຈະບລັອກ, ແລະ ລາຍຊື່ການຍົກເວັ້ນ.
• sshd ໄດ້ຖືກແບ່ງອອກເປັນຫຼາຍໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ແຍກຕ່າງຫາກ. ຂະບວນການ sshd-session ຖືກຈັດສັນຈາກ sshd ເພື່ອປະຕິບັດວຽກງານທີ່ກ່ຽວຂ້ອງກັບການປະມວນຜົນເຊດຊັນ. ຂະບວນການ sshd ຮັກສາຫນ້າທີ່ຮັບຜິດຊອບສໍາລັບການຍອມຮັບການເຊື່ອມຕໍ່ເຄືອຂ່າຍ, ການກວດສອບການຕັ້ງຄ່າ, ການໂຫຼດລະຫັດເຈົ້າພາບ, ແລະການຄຸ້ມຄອງຂະບວນການເລີ່ມຕົ້ນໂດຍສອດຄ່ອງກັບພາລາມິເຕີ MaxStartups. ດັ່ງນັ້ນ, sshd ທີ່ສາມາດປະຕິບັດໄດ້ໃນປັດຈຸບັນມີຫນ້າທີ່ຕໍາ່ສຸດທີ່ຕ້ອງການເພື່ອຍອມຮັບການເຊື່ອມຕໍ່ເຄືອຂ່າຍໃຫມ່ແລະເລີ່ມຕົ້ນ sshd-session ເພື່ອຈັດການເຊດຊັນ.
• ຂໍ້ຄວາມຂອງບາງຂໍ້ຄວາມຜິດພາດທີ່ຂຽນໃສ່ບັນທຶກໄດ້ມີການປ່ຽນແປງ. ໂດຍສະເພາະ, ຈໍານວນຂໍ້ຄວາມຖືກສົ່ງພາຍໃຕ້ຊື່ຂອງຂະບວນການ "sshd-session" ແທນທີ່ຈະ "sshd".
• ດຽວນີ້ ssh-keyscan utility ສົ່ງອອກສະບັບໂປໂຕຄໍແລະຂໍ້ມູນຊື່ເຈົ້າພາບໄປສູ່ການຖ່າຍທອດມາດຕະຖານແທນທີ່ຈະເປັນ STDERR. ເພື່ອປິດຜົນຜະລິດ, ທາງເລືອກ "-q" ແມ່ນແນະນໍາ.
• ໃນ ssh, ມັນເປັນໄປໄດ້ທີ່ຈະປິດການໃຊ້ງານ rollback ຈາກການນໍາໃຊ້ໃບຢັ້ງຢືນການເປັນເຈົ້າພາບກັບການນໍາໃຊ້ກະແຈເຈົ້າພາບທໍາມະດາໂດຍຜ່ານຄໍາສັ່ງ HostkeyAlgorithms.
• sshd ຮຸ່ນແບບເຄື່ອນທີ່ບໍ່ໄດ້ໃຊ້ຄ່າ argv[0] ເພື່ອກໍານົດຊື່ບໍລິການ PAM. ເພື່ອຕັ້ງຊື່ຂອງບໍລິການ PAM, ຄໍາສັ່ງໃຫມ່ "PAMServiceName" ໄດ້ຖືກເພີ່ມໃສ່ sshd_config, ເຊິ່ງຕັ້ງເປັນ "sshd" ໂດຍຄ່າເລີ່ມຕົ້ນ.
• ສະບັບ Portable ຂອງ sshd ຮັບປະກັນວ່າໄຟລ໌ທີ່ສ້າງຂຶ້ນໂດຍອັດຕະໂນມັດ (configure script, config.h.in, ແລະອື່ນໆ) ຖືກບັນທຶກໄວ້ໃນສາຂາ Git ດ້ວຍການເປີດຕົວ (ຕົວຢ່າງ, V_9_8), ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະ synchronize ອົງປະກອບຂອງ tar ທີ່ເຊັນດິຈິຕອນ. ຮວບຮວມແລະສາຂາໃນ Git.
• ສະບັບ Portable ຂອງ ssh ແລະ ssh-agent ສະຫນອງການຕັ້ງຄ່າໂຫມດ
  SSH_ASKPASS ຢູ່ໃນຕົວປ່ຽນແປງສະພາບແວດລ້ອມ WAYLAND_DISPLAY, ຄ້າຍຄືກັບວິທີການ X11 ນີ້ຖືກເຮັດຢູ່ໃນຕົວແປສະພາບແວດລ້ອມ DISPLAY.
• ລຸ້ນ sshd ແບບພົກພາໄດ້ເພີ່ມການຮອງຮັບການສົ່ງການແຈ້ງເຕືອນໄປຍັງລະບົບເມື່ອເຕົ້າຮັບເຄືອຂ່າຍການຟັງຖືກສ້າງຂື້ນຫຼືເລີ່ມຕົ້ນໃຫມ່, ໂດຍໃຊ້ລະຫັດ standalone ທີ່ບໍ່ໄດ້ໂທຫາຫ້ອງສະຫມຸດ libsystemd.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru