ProHoster > Blogs > Interneta ziņas > OpenSSH 10.6 izlaidums ar droŔības ievainojamÄ«bu novērÅ”anu

OpenSSH 10.6 izlaidums ar droŔības ievainojamÄ«bu novērÅ”anu

Publicēts OpenSSH 10.6 izlaidums ā€” atvērtās realizācijas klients un serveris SSH 2.0 un SFTP protokolu darbÄ«bai. Novērstas droŔības problēmas, no kurām lielāko daļu atklāja, analizējot kodu, izmantojot AI rÄ«kus (CVE identifikatori nav pieŔķirti):

  • VainojamÄ«ba sftp, kas ļauj uzrakstÄ«t failu ārpus mērÄ·direktorijas, pieslēdzoties serverim, ko kontrolē uzbrucēji.
  • Divas GSSAPI realizācijas ievainojamÄ«bas sshd, ko izraisÄ«ja stāvokļa saglabāŔana starp dažādiem autentifikācijas mēģinājumiem. GSSAPI akreditÄ«vi varēja palikt aktÄ«vi pēc neveiksmÄ«gas autentifikācijas mēģinājuma un tikt izmantoti pēc turpmāk veiksmÄ«gas autentifikācijas. Problēmas izpaužas, ieslēdzot GSSAPIAuthentication iestatÄ«jumu.
  • LZ77 saspieÅ”anas atbalsts sshd un ssh ir atslēgts, jo pastāv iespēja Ä«stenot uzbrukumu caur blakus kanālu, ļaujot atjaunot saturu no cita sesijas, savienojoties kopÄ«gā ar upuri multiplexētā savienojumā, izmantojot to, ka uzbrucēja kontrolēti dati ietekmē kopējo nosÅ«tÄ«to Å”ifrēto ziņojumu garumu (LZ77 aizvieto atkārtotas virknes ar atsaucēm kopējā buferÄ«, kas ir pieejams visiem kanāliem).
  • ssh utilÄ«tē ir aizliegts izmantot simbolus ā€˜$ā€™ un ā€˜\ā€™ lietotāju vārdos, kas ievadÄ«ti komandās, jo to palÄ«dzÄ«bu varēja organizēt koda izpildi, aizvietojot vārdus ar ProxyCommand un Match exec norādÄ«jumiem iestatÄ«jumos.
  • ssh-keygen ir novērsta nepareiza vasaras laika apstrāde, kas izraisÄ«ja sertifikātu derÄ«guma termiņa novirzi par 1 stundu.
  • Ar mērÄ·i bloķēt zip-bumbu veidoÅ”anu sshd un ssh ir pievienota pārbaude par maksimālā paketes izmēra pārsniegÅ”anu, izpakojot datus.
  • sshd ir atrisināta problēma, kas ļāva apiet ierobežojumus atslēgvārdam ā€˜restrictā€™ authorized_keys failā, kas netika piemērots tunelÄ“Å”anai (PermitTunnel).
  • sshd ir novērsts nepareizs ā€˜noneā€™ opcijas parsējums iekÅ” Match blokiem, kas dažās norādēs, piemēram, AuthorizedPrincipalsFile, tika interpretēts kā faila nosaukums, nevis kā direktÄ«vas atslēgÅ”anas pazÄ«me.
  • ssh serverÄ« ir novērsta root privilēģiju atjaunoÅ”anas neesamÄ«ba platformās, kas neatbalsta failu deskriptoru pārsÅ«tÄ«Å”anu un kuru PTY rezervÄ“Å”anai nepiecieÅ”amas root tiesÄ«bas. Problēma izpaužas QNX 6, SCO OpenServer 5 un, izmantojot opciju "--disable-fd-passing".

Nav saistītie ar ievainojamībām izmaiņas:

  • Iekļauta hibrÄ«da kriptogrāfiskā algoritma ssh-mldsa44-ed25519 atbalsts, kas ir izturÄ«gs pret uzbrukumiem ar kvantu datoriem.
  • sshd_config ir ieviesta un pēc noklusējuma ieslēgta opcija WarnWeakCrypto, lai pārvaldÄ«tu brÄ«dinājumu par savienojumu, izmantojot atslēgu saskaņoÅ”anas algoritmus, kas nav izturÄ«gi pret uzbrukumiem ar kvantu datoriem.
  • ssh-keygen un ssh-add ir ieviesta credProtect politikas pārbaude vērtÄ«bās, lai izpildÄ«tu verifikācijas prasÄ«bas (PIN vai biometrika) pirms piekļuves rezidentajiem atslēgām FIDO tÄ«klos.
  • ssh-add ir pievienota karogs "-P", lai izlaistu obligāto PIN koda ievadi FIDO un PKCS#11 tÄ«klos.
  • ssh komandā ~I ir ieviesta informācijas par versijām izdruka lokālajās un attālajās sistēmās.
  • sftp komandās mkdir/lmkdir ir pievienots karogs ā€˜-pā€™, lai izveidotu katalogus nepiecieÅ”amÄ«bas gadÄ«jumā.
  • ssh-keygen ir pievienots 'hexdump' režīms atslēgu eksportam heksadecimālo izdumpu formā (piemēram, dokumentācijas ievietoÅ”anai).
  • ssh un sshd direktÄ«vā ChannelTimeout ir atļauts norādÄ«t laika ierobežojumus ar precizitāti lÄ«dz sekundes daļām.
  • sshd ir pievienota opcija AgentSocketPath, lai norādÄ«tu ceļu uz $SSH_AUTH_SOCK aÄ£enta pārsÅ«tÄ«Å”anai (piemēram, user:.ssh/agent apakÅ”katalogiem $HOME un shared:/tmp koplietoÅ”anas katalogiem).
  • ssh-agent ir pievienots karogs "-A", lai norādÄ«tu aÄ£enta soketu katalogus, kuros atļauts izmantot prefiksus "user:" un "shared:" kā AgentSocketPath opcijā.
  • sshd atvērto atslēgu pārbaude ir nodalÄ«ta no autentifikācijas mēģinājumiem. Ir pievienota opcija "PubkeyOptions max-pk-ok:nnnn" atvēlēto atvērto atslēgu pārbaudes mēģinājumu skaitam iestatÄ«Å”anai (noklusējuma vērtÄ«ba 6), pēc kura savienojums tiks pārtraukts MaxAuthTries limita dēļ.
  • ssh un sshd TCPKeepAlive opcijā ir iekļauts atbalsts vērtÄ«bai "all", kas ietver keepalive paketu sÅ«tÄ«Å”anu ne tikai galvenajam savienojumam, bet arÄ« tam pārsÅ«tÄ«tajiem savienojumiem.

Avots: opennet.lv

Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem šŸ”„ Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem | ProHoster