OpenSSH 9.2 ປ່ອຍອອກມາພ້ອມການແກ້ໄຂຊ່ອງໂຫວ່ກ່ອນການພິສູດຢືນຢັນ

ການປ່ອຍ OpenSSH 9.2 ໄດ້ຖືກຈັດພີມມາ, ການປະຕິບັດແບບເປີດຂອງລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍສໍາລັບການເຮັດວຽກໂດຍໃຊ້ໂປໂຕຄອນ SSH 2.0 ແລະ SFTP. ຮຸ່ນໃຫມ່ກໍາຈັດຊ່ອງໂຫວ່ທີ່ນໍາໄປສູ່ການປົດປ່ອຍຫນ່ວຍຄວາມຈໍາສອງເທົ່າໃນຂັ້ນຕອນການພິສູດຢືນຢັນກ່ອນ. ພຽງແຕ່ການປ່ອຍ OpenSSH 9.1 ໄດ້ຮັບຜົນກະທົບ; ບັນຫາບໍ່ປາກົດຢູ່ໃນຮຸ່ນກ່ອນຫນ້າ.

ເພື່ອສ້າງເງື່ອນໄຂສໍາລັບການສະແດງອອກຂອງຊ່ອງໂຫວ່, ມັນພຽງພໍທີ່ຈະປ່ຽນປ້າຍໂຄສະນາລູກຄ້າ SSH ເປັນ “SSH-2.0-FuTTYSH_9.1p1” ເພື່ອສ້າງທຸງ “SSH_BUG_CURVE25519PAD” ແລະ “SSH_OLD_DHGEX”, ເຊິ່ງຂຶ້ນກັບລຸ້ນຂອງ SSH. ລູກ​ຄ້າ. ຫຼັງຈາກການຕັ້ງຄ່າທຸງເຫຼົ່ານີ້, ຫນ່ວຍຄວາມຈໍາສໍາລັບ "options.kex_algorithms" buffer ຈະຖືກປົດປ່ອຍສອງຄັ້ງ - ເມື່ອປະຕິບັດຫນ້າທີ່ do_ssh2_kex(), ເຊິ່ງເອີ້ນ compat_kex_proposal(), ແລະເມື່ອປະຕິບັດຫນ້າທີ່ do_authentication2(), ເຊິ່ງເອີ້ນ input_userauth_getpllow(), mm. ), copy_set_server_options() ຕາມຕ່ອງໂສ້ , assemble_algorithms() ແລະ kex_assemble_names().

ການສ້າງການຂູດຮີດການເຮັດວຽກສໍາລັບຊ່ອງໂຫວ່ແມ່ນຖືວ່າບໍ່ເປັນໄປໄດ້, ເນື່ອງຈາກວ່າຂະບວນການຂຸດຄົ້ນແມ່ນສັບສົນເກີນໄປ - ຫ້ອງສະຫມຸດການຈັດສັນຫນ່ວຍຄວາມຈໍາທີ່ທັນສະໄຫມສະຫນອງການປ້ອງກັນການປົດປ່ອຍຫນ່ວຍຄວາມຈໍາສອງເທົ່າ, ແລະຂະບວນການ pre-auth ທີ່ຄວາມຜິດພາດແມ່ນດໍາເນີນໄປດ້ວຍສິດທິພິເສດທີ່ຫຼຸດລົງໃນການໂດດດ່ຽວ. ສະພາບແວດລ້ອມ sandbox.

ນອກເໜືອໄປຈາກຊ່ອງໂຫວ່ທີ່ສັງເກດແລ້ວ, ລຸ້ນໃໝ່ຍັງແກ້ໄຂບັນຫາຄວາມປອດໄພອີກສອງຢ່າງ:

• ຂໍ້ຜິດພາດເກີດຂຶ້ນໃນເວລາທີ່ປະມວນຜົນການຕັ້ງຄ່າ "PermitRemoteOpen", ເຊິ່ງເຮັດໃຫ້ການໂຕ້ຖຽງທໍາອິດຖືກລະເລີຍຖ້າມັນແຕກຕ່າງຈາກຄ່າ "any" ແລະ "none". ບັນຫາປາກົດຢູ່ໃນລຸ້ນທີ່ໃໝ່ກວ່າ OpenSSH 8.7 ແລະເຮັດໃຫ້ການກວດສອບຖືກຂ້າມໄປເມື່ອມີການລະບຸສິດອະນຸຍາດອັນດຽວເທົ່ານັ້ນ.
• ຜູ້ໂຈມຕີທີ່ຄວບຄຸມເຊີບເວີ DNS ທີ່ໃຊ້ເພື່ອແກ້ໄຂຊື່ ສາມາດບັນລຸການປ່ຽນຕົວອັກສອນພິເສດ (ຕົວຢ່າງ, “*”) ເຂົ້າໄປໃນໄຟລ໌ທີ່ຮູ້ຈັກ_hosts ຖ້າຕົວເລືອກ CanonicalizeHostname ແລະ CanonicalizePermittedCNAMEs ຖືກເປີດໃຊ້ໃນການຕັ້ງຄ່າ, ແລະຕົວແກ້ໄຂລະບົບບໍ່ໄດ້ກວດສອບຄວາມຖືກຕ້ອງຂອງ ຄໍາຕອບຈາກເຄື່ອງແມ່ຂ່າຍ DNS. ການໂຈມຕີດັ່ງກ່າວຖືວ່າບໍ່ເປັນໄປໄດ້ເພາະວ່າຊື່ທີ່ສົ່ງຄືນຕ້ອງກົງກັບເງື່ອນໄຂທີ່ລະບຸໄວ້ຜ່ານ CanonicalizePermittedCNAMEs.

ການປ່ຽນແປງອື່ນໆ:

• ການຕັ້ງຄ່າ EnableEscapeCommandline ໄດ້ຖືກເພີ່ມໃສ່ ssh_config ສໍາລັບ ssh ເພື່ອຄວບຄຸມວ່າການປະມວນຜົນດ້ານລູກຄ້າຂອງລໍາດັບຫນີ "~C" ທີ່ສະຫນອງເສັ້ນຄໍາສັ່ງຖືກເປີດໃຊ້. ໂດຍຄ່າເລີ່ມຕົ້ນ, ການຈັດການ "~C" ຕອນນີ້ຖືກປິດໃຊ້ງານເພື່ອໃຊ້ການແຍກ sandbox ທີ່ເຄັ່ງຄັດກວ່າ, ອາດຈະທໍາລາຍລະບົບທີ່ໃຊ້ "~C" ສໍາລັບການສົ່ງຕໍ່ພອດໃນເວລາແລ່ນ.
• ຄໍາສັ່ງ ChannelTimeout ໄດ້ຖືກເພີ່ມໃສ່ sshd_config ສໍາລັບ sshd ເພື່ອກໍານົດການຫມົດເວລາຂອງຊ່ອງທີ່ບໍ່ມີການເຄື່ອນໄຫວ (ຊ່ອງທາງທີ່ບໍ່ມີການຈະລາຈອນຖືກບັນທຶກໄວ້ໃນໄລຍະເວລາທີ່ລະບຸໄວ້ໃນຄໍາສັ່ງຈະຖືກປິດໂດຍອັດຕະໂນມັດ). ການຫມົດເວລາທີ່ແຕກຕ່າງກັນສາມາດຖືກກໍານົດສໍາລັບກອງປະຊຸມ, X11, ຕົວແທນ, ແລະການປ່ຽນເສັ້ນທາງການຈະລາຈອນ.
• ຄໍາສັ່ງ UnusedConnectionTimeout ໄດ້ຖືກເພີ່ມເຂົ້າໃນ sshd_config ສໍາລັບ sshd, ຊ່ວຍໃຫ້ທ່ານສາມາດກໍານົດເວລາສໍາລັບການຢຸດການເຊື່ອມຕໍ່ລູກຄ້າທີ່ບໍ່ມີຊ່ອງຫວ່າງສໍາລັບເວລາທີ່ແນ່ນອນ.
• ທາງເລືອກ "-V" ໄດ້ຖືກເພີ່ມເຂົ້າໃນ sshd ເພື່ອສະແດງສະບັບ, ຄ້າຍຄືກັບຕົວເລືອກທີ່ຄ້າຍຄືກັນໃນລູກຄ້າ ssh.
• ເພີ່ມເສັ້ນ "Host" ກັບຜົນຜະລິດຂອງ "ssh -G", ເຊິ່ງສະທ້ອນເຖິງມູນຄ່າຂອງ hostname argument.
• ທາງເລືອກ "-X" ໄດ້ຖືກເພີ່ມເຂົ້າໃນ scp ແລະ sftp ເພື່ອຄວບຄຸມຕົວກໍານົດການຂອງໂປໂຕຄອນ SFTP ເຊັ່ນ: ຂະຫນາດຂອງບັຟເຟີສໍາເນົາແລະຈໍານວນຄໍາຮ້ອງຂໍທີ່ຍັງຄ້າງຢູ່.
• ssh-keyscan ອະນຸຍາດໃຫ້ສະແກນຂອບເຂດທີ່ຢູ່ CIDR ເຕັມຮູບແບບ, ຕົວຢ່າງ "ssh-keyscan 192.168.0.0/24".

ແຫຼ່ງຂໍ້ມູນ: opennet.ru