OpenSSH 10.1 izlaidums

Ir iznācis OpenSSH 10.1, atvērtās klienta un servera realizācijas SSH 2.0 un SFTP protokolu darbam.

Galvenās izmaiņas:

• Novērsta drošības problēma, kas ļauj uzbrucējam ievietot shell komandas, manipulējot ar īpašiem simboliem lietotāja vārdā vai URI, kas varētu tikt izpildītas, izpildot komandu, kas norādīta, izmantojot iestatījumu „ProxyCommand” un saturot aizvietojumu „%u”. Problēma attiecas tikai uz sistēmām, kas pieļauj lietotāja vārdu vai URI aizvietojumu, kas iegūti no neuzticamiem avotiem, ssh palaišanas laikā.

  Lai bloķētu līdzīgas uzbrukuma metodes, ir aizliegta kontrolsimbolu izmantošana lietotāju vārdos, kas tiek norādīti komandrindā vai ievietoti iestatījumos caur %-secībām. Tāpat ir aizliegta nulles simbolu izmantošana URI ssh://. Izņēmums ir tikai nosaukumi, kas norādīti konfigurācijas failā (tiek pieņemts, ka šis konfigurācijas fails ir uzticams).
• Komandās ssh un ssh-agent pievienota atbalsta funkcionalitāte ed25519 atslēgām, kas uzglabātas PKCS#11 žetonos.
• SSH konfigurācijas failā ssh_config pievienota iestatījums RefuseConnection, kura apstrādes laikā aktīvā sadaļā notiek procesa pabeigšana ar kļūdas ziņojuma parādīšanu, neveicot savienojuma veidošanu. Match host foo RefuseConnection „hosts foo vairs netiek izmantots, pieslēdzieties hosam bar”
• SSH un sshd pievienoti SIGINFO signāla apstrādātāji, lai reģistrētu sesijas un aktīvā kanāla informāciju.
• Ja lietotāja autentifikācijas pieprasījums, pamatojoties uz sertifikātu, tiek noraidīts, sshd nodrošina ne tikai iemesla reģistrēšanu, bet arī izsmeļošu informāciju, lai identificētu problemātisko sertifikātu.
• SSHD pievienota X11 displeja numura pārbaude attiecībā uz novirzi, kas norādīta X11DisplayOffset direktīvā.
• Vienības testu komplektā pievienotas veiktspējas mērīšanas iespējas, kas aktivizējas, palaidot „make UNITTEST_BENCHMARK=yes” OpenBSD vai „make unit-bench” citās sistēmās.

Izmaiņas, kas potenciāli pārkāpj atpakaļsaderību:

• Kā ssh pieslēgšanas algoritmam, kas nav drošs pret kvantu datoru uzbrukumiem, pievienots brīdinājums. Brīdinājums pievienots sakarā ar nākotnes uzbrukumu risku, izmantojot iepriekš saglabātus datplūsmas dumus. Lai atslēgtu brīdinājumu, ssh_config ir pievienota opcija WarnWeakCrypto. Match host unsafe.example.com WarnWeakCrypto no
• SSH un sshd parametrs kvalitātes apstrādei DSCP (IPQoS) ir būtiski mainīts. Interaktīvajai datplūsmai tagad pēc noklusējuma tiek piešķirts EF (Expedited Forwarding) klase prioritātes apstrādei bezvadu tīklos. Neinteraktīvai datplūsmai tiek piešķirta klase, kas pēc noklusējuma izmanto operētājsistēma. Datplūsmas klasi var mainīt, izmantojot IPQoS iestatījumus ssh_config un sshd_config. ToS (service type) parametri IPv4 IPQoS direktīvā ir novecojuši (ToS ir nomainījis DSCP).
• ssh-add sertifikāta pievienošanas brīdī ssh-agent ir ieviesta iespēja noteikt sertifikāta dzīves laiku par 5 minūtēm ilgāku nekā sertifikāta derīguma termiņš (automātiskai derīguma termiņa beigu sertifikāta dzēšanai). Lai atslēgtu šo uzvedību, ssh-add ir pievienota opcija "-N".
• Ir noņemta XMSS atslēgu atbalsts, kas tika atzīta par eksperimentālu un nekad netika iekļauta pēc noklusējuma.
• Unix soketi, ko izveido ssh-agent un sshd procesi, ir pārvietoti no /tmp katalogs uz ~/.ssh/agent, kas nodrošina, ka izolētiem procesiem, kuriem ir ierobežota piekļuve failu sistēmai, nav iespējams piekļūt caur šiem soketiem, tomēr ir atvērta piekļuve uz /tmp.

Nākamajos izlaidumos tiks paziņots par DNS ierakstu SHA1 SSHFP novecošanu sakarā ar SHA1 hash funkcijas uzticamības problēmām. Šie ieraksti tiks ignorēti, un komanda "ssh-keygen -r" ģenerēs tikai SHA256 SSHFP ierakstus.

Avots: opennet.lv