Pēc trīs mēnešu izstrādes ir publicēta OpenSSH 10.4 versija, atvērtā klienta un servera īstenojums SSH 2.0 un SFTP protokoliem. Galvenās izmaiņas:
- Ir pievienota eksperimentālā atbalsta kombinētajai digitālo parakstu veidošanas shēmai „mldsa44-ed25519”, kas apvieno postkvantu algoritmu ML-DSA 44 un algoritmu, kas balstās uz eliptiskajām krivēm Ed25519. Lai aktivizētu atbalstu, jāpievieno „mldsa44-ed25519” direktīvās HostKeyAlgorithms un PubkeyAcceptedAlgorithms. Atslēgu ģenerēšanai var izmantot komandu „ssh-keygen -t mldsa44-ed25519”.
- ssh un sshd aizvien tiek izmantota jauna paraugu saskaņošanas sistēmas īstenojums, kas balstās uz nedeterministisku beigu automātu un nav pakļauta eksponenciālās sarežģītības problēmai, izmantojot maskas ar daudz simboliem „*”.
- Ir mainījies linux versiju sshd uzvedība ar aktivizētu sistēmas izsaukumu filtrēšanu, izmantojot seccomp. Agrāk avārija, aktivizējot SECCOMP vai NO_NEW_PRIVS Linux sistēmās, uz kurām tie neattiecas, izraisīja brīdinājumu žurnālā un turpināja darbu bez izolācijas, bet tagad tas izraisa avārijas izbeigšanu.
- Izmantojot opciju „sshd -G”, konfigurācijas izsaukumu izraksts tagad tiek rakstīts ar lielajām un mazajām burtu, nevis tikai mazajās burtu (t.i., „PubkeyAuthentication” vietā „pubkeyauthentication”).
- ssh un sshd uzvedība ir pielāgota RFC 4253 standartam: ziņojumi, kas saistīti ar atslēgu apmaiņu, tagad izraisīs savienojuma izbeigšanu laikā, kad notiek atslēgu apmaiņa. Agrāk uzbrucēji varēja organizēt DoS uzbrukumus, bezgalīgi nosūtot trešo pušu ziņojumus atslēgu apmaiņas procesā, kas tika buferizēti un patērēja atmiņu. serveri un patērēja atmiņu.
Tika novērstas vairākas drošības problēmas:
- ssh utilītē tika novērsta potenciāla piekļuve atmiņai pēc tās atbrīvošanas (use-after-free), piekļūstot ļaunprātīgajam serverim. Problēma tiek eksponēta, mainot hosta atslēgu atslēgu apmaiņas laikā.
- Vājība sftp, kas ļauj lejupielādēt failus citā direktorijā, piekļūstot ļaunprātīgam serverim, izmantojot komandu, kas izskatās kā „sftp host: /path .”.
- Vājība scp, kas ļauj, kopējot failus starp divām ārējām secinājumiem. serveriem, no kura viens ir pakļauts uzbrucējam, organizēt failu ierakstīšanu vecākajā direktorijā, kas atrodas zem mērķa direktorijas līmeņa.
- Tika novērsta problēma sshd, kas izpaudās, izmantojot iekšējo SFTP servera īstenojumu (‘internal-sftp’), noklusējumā atslēgtu. Problēma saistīta ar garu secību izgriešanu komandrindā pēc 9 argumentiem, kas var novest pie nākamo argumentu izmešanas. Tādējādi potenciāli var tikt izlaisti drošības nodrošinājumi.
- sshd tika novērsta nepilnība, kuru dēļ direktīva ‘DisableForwarding=yes’ neatslēdza tunelēšanas iespēju, atļautu ar ‘PermitTunnel=yes’ opciju (noklusējumā nav iestatīta).
- sshd tika novērsta problēma, ko varēja izmantot, lai uzsāktu pakalpojuma atteikumu pirms autentifikācijas pārejas, ja iestatīts GSSAPIAuthentication (noklusējumā atslēgts). Problēma netiek bloķēta ar ‘MaxAuthTries’ limitu, bet pakļaujas ‘PerSourcePenalties’ ierobežojumam.
- sshd tika novērsta nepilnība, kuru dēļ netika vienmēr pievienota minimālā kavēšanās starp autentifikācijas mēģinājumiem.
Avots: opennet.lv
