Pusst pēc pusgada izstrādes publicēts OpenSSH 10.3, atvērtās versijas klients un serveris darbam ar SSH 2.0 un SFTP protokoliem. Galvenās izmaiņas:
- Tika novērsta ievainojamība, kas ļauj uzbrucējam, kuram ir kontrole pār lietotāja vārdu, kas tiek nosūtīts, palažot ssh rīku, potenciāli panākt patvaļīgu shell-komandu izpildi. Ievainojamība izpaužas sistēmās, kas izmanto `%u` aizvietojumu dažās konfigurācijas faila direktīvās, piemēram, `Match exec`. Problēma ir saistīta ar speciālo simbolu pārbaudi lietotāja vārdā pēc %-aizvietojumu izpildes ssh_config konfigurācijas failā.
- Novērsta drošības problēma sshd, kas radās nepareiza authorized_keys opcijas principals=»» sakritībā ar nosaukumu (principal) sarakstu sertifikātā situācijā, kad nosaukumos ir simbols «,». Lai izmantotu ievainojamību, authorized_keys opcijā principals=»» ir jānorāda vairāki nosaukumi un sertifikātu izsniedzējam ir jāizsniedz sertifikāts ar vairākiem nosaukumiem, kas atdalīti ar komatu (parasti tas netiek atļauts). Mainīta uzvedība attiecībā uz sertifikātiem ar tukšu nosaukumu — iepriekš tukšs nosaukums attiecās uz visām authorized_keys opcijām principals=», bet tagad neattiecas.
- scp novērsta problēma, kad neizdzēsa setuid/setgid flagus pēc faila augšupielādes ar root tiesībām, norādot opciju «-O» un neizmantojot opciju «-p».
- sshd labota problēma ar ECDSA atslēgu apstrādi PubkeyAcceptedAlgorithms un HostbasedAcceptedAlgorithms direktīvās, kad, norādot jebkuru ECDSA algoritmu (piemēram, «ecdsa-sha2-nistp384»), sāka tikt pieņemti arī visi pārējie ECDSA algoritmi, pat ja tie skaidri nebija uzskaitīti atļauto sarakstā.
- ssh un sshd, strādājot ar SSH aģentiem, pievienota atbalsta identifikatoriem (codepoint), kas noteikti IANA specifikācijā draft-ietf-sshm-ssh-agent. Atbalsts iepriekš izmantotajiem identifikatoriem formātā «@openssh.com» ir saglabāts.
- ssh-agent īstenots paplašinājums «query», kas definēts draft-ietf-sshm-ssh-agent specifikācijā un ļauj noteikt aģenta atbalstītās funkcijas. Lai pieprasītu atbalstīto protokola paplašinājumu sarakstu, izmantojot «query» pieprasījumu, ssh-add rīkam pievienota opcija «-Q».
- sshd_config atļauts norādīt vairākus failus RevokedKeys direktīvā, un ssh_config — RevokedHostKeys direktīvā.
- ssh pievienota escape komanda «~I» un opcija «-O conninfo», lai parādītu informāciju par pašreizējo savienojumu, kā arī opcija «-O channels» informācijas par atvērtajiem kanāliem parādīšanai.
- Sshd direktīvā PerSourcePenalties ir ieviesta opcija 'invaliduser', lai pievienotu aizkavi gadījumā, ja tiek mēģināts pieslēgties, izmantojot neesoša lietotāja vārdu (noklusējuma iestatījums ir 5 sekundes). Ir pievienota iespēja norādīt daļējas aizkaves vērtības.
- Sshd ir pievienota opcija GSSAPIDelegateCredentials, lai pārvaldītu deleģēto akreditācijas datu saņemšanu, ko nodrošina klients.
- Ssh-keygen ir pievienota atbalsta iespēja ED25519 atslēgu ierakstīšanai PKCS8 formātā.
- Ir pievienots atbalsts digitālo parakstu shēmai ed25519, ko īsteno libcrypto.
Avots: opennet.lv
