Ir publicēts OpenSSH 9.6 laidiens, atvērta klienta un servera ieviešana darbam, izmantojot SSH 2.0 un SFTP protokolus. Jaunajā versijā ir novērstas trīs drošības problēmas:
- SSH protokola ievainojamība (CVE-2023-48795, “Terrapin” uzbrukums), kas ļauj MITM uzbrukumam atsaukt savienojumu, lai izmantotu mazāk drošus autentifikācijas algoritmus un atspējotu aizsardzību pret sānu kanālu uzbrukumiem, kas atkārtoti rada ievadi, analizējot aizkaves. starp tastatūras taustiņsitieniem . Uzbrukuma metode ir aprakstīta atsevišķā ziņu rakstā.
- Ssh utilīta ievainojamība, kas ļauj aizstāt patvaļīgas čaulas komandas, manipulējot ar pieteikšanās un resursdatora vērtībām, kas satur īpašas rakstzīmes. Ievainojamību var izmantot, ja uzbrucējs kontrolē pieteikšanās un resursdatora nosaukuma vērtības, kas tiek nodotas ssh, ProxyCommand un LocalCommand direktīvām vai "match exec" blokiem, kas satur aizstājējzīmes, piemēram, %u un %h. Piemēram, nepareizu pieteikšanos un resursdatoru var aizstāt sistēmās, kurās Git tiek izmantoti apakšmoduļi, jo Git neaizliedz norādīt speciālās rakstzīmes resursdatora un lietotāju nosaukumos. Līdzīga ievainojamība parādās arī libssh.
- Programmā ssh-agent radās kļūda, kurā, pievienojot PKCS#11 privātās atslēgas, ierobežojumi tika piemēroti tikai pirmajai atslēgai, ko atgrieza PKCS#11 pilnvara. Problēma neietekmē parastās privātās atslēgas, FIDO marķierus vai neierobežotas atslēgas.
Citas izmaiņas:
- Pievienots "%j" aizstāšana ssh, izvēršot resursdatora nosaukumu, kas norādīts, izmantojot ProxyJump direktīvu.
- ssh ir pievienojis atbalstu ChannelTimeout iestatīšanai klienta pusē, ko var izmantot neaktīvo kanālu pārtraukšanai.
- Pievienots atbalsts ED25519 privāto atslēgu lasīšanai PEM PKCS8 formātā uz ssh, sshd, ssh-add un ssh-keygen (iepriekš tika atbalstīts tikai OpenSSH formāts).
- Ssh un sshd ir pievienots protokola paplašinājums, lai pēc lietotājvārda saņemšanas atkārtoti apspriestu digitālā paraksta algoritmus publiskās atslēgas autentifikācijai. Piemēram, izmantojot paplašinājumu, varat selektīvi izmantot citus algoritmus saistībā ar lietotājiem, blokā “Match user” norādot PubkeyAcceptedAlgorithms.
- Pievienots protokola paplašinājums ssh-add un ssh-agent, lai iestatītu sertifikātus, ielādējot PKCS#11 atslēgas, ļaujot ar PKCS#11 privātajām atslēgām saistītos sertifikātus izmantot visās OpenSSH utilītprogrammās, kas atbalsta ssh-agent, nevis tikai ssh.
- Uzlabota neatbalstītu vai nestabilu kompilatoru karodziņu, piemēram, "-fzero-call-used-regs" noteikšana zvana režīmā.
- Lai ierobežotu sshd procesa privilēģijas, OpenSolaris versijās, kas atbalsta getpflags() interfeisu, PRIV_LIMIT vietā tiek izmantots režīms PRIV_XPOLICY.
Avots: opennet.ru