Објавување на OpenSSH 9.6 со елиминација на ранливости

Објавено е изданието на OpenSSH 9.6, отворена имплементација на клиент и сервер за работа со користење на протоколите SSH 2.0 и SFTP. Новата верзија поправа три безбедносни проблеми:

• Ранливост во протоколот SSH (CVE-2023-48795, напад „Terrapin“), што му овозможува на нападот MITM да ја врати врската за да користи помалку безбедни алгоритми за автентикација и да ја оневозможи заштитата од напади на страничните канали кои повторно создаваат влез преку анализа на доцнењата помеѓу тастатурата на тастатурата . Методот на напад е опишан во посебна статија за вести.
• Ранливост во алатката ssh што овозможува замена на произволни команди на школка преку манипулација со вредностите за најавување и домаќин што содржат специјални знаци. Ранливоста може да се експлоатира ако напаѓачот ги контролира вредностите за најава и името на домаќинот пренесени во директивите ssh, ProxyCommand и LocalCommand или блоковите „match exec“ кои содржат знаци како %u и %h. На пример, погрешно најавување и хост може да се заменат во системи кои користат подмодули во Git, бидејќи Git не забранува специфицирање специјални знаци во имињата на домаќинот и корисникот. Слична ранливост се појавува и во libssh.
• Имаше грешка во ssh-agent каде што, при додавање на приватни клучеви PKCS#11, ограничувањата беа применети само на првиот клуч вратен од токенот PKCS#11. Проблемот не влијае на редовните приватни клучеви, FIDO токените или неограничените клучеви.

Други промени:

• Додадена е замена „%j“ на ssh, проширувајќи се во името на домаќинот одредено преку директивата ProxyJump.
• ssh додаде поддршка за поставување ChannelTimeout на страната на клиентот, што може да се користи за прекинување на неактивни канали.
• Додадена е поддршка за читање приватни клучеви ED25519 во формат PEM PKCS8 на ssh, sshd, ssh-add и ssh-keygen (претходно беше поддржан само OpenSSH форматот).
• Додадено е проширување на протоколот на ssh и sshd за повторно преговарање на алгоритмите за дигитален потпис за автентикација на јавен клуч откако ќе се прими корисничкото име. На пример, со користење на наставката, можете селективно да користите други алгоритми во однос на корисниците со наведување PubkeyAcceptedAlgorithms во блокот „Match user“.
• Додадено е проширување на протоколот за ssh-add и ssh-agent за поставување сертификати при вчитување на клучеви PKCS#11, овозможувајќи сертификатите поврзани со приватните клучеви PKCS#11 да се користат во сите алатки на OpenSSH што поддржуваат ssh-agent, а не само ssh.
• Подобрено откривање на неподдржани или нестабилни знаменца на компајлерот како „-fzero-call-used-regs“ во ѕвонење.
• За да се ограничат привилегиите на процесот sshd, верзиите на OpenSolaris кои го поддржуваат интерфејсот getpflags() го користат режимот PRIV_XPOLICY наместо PRIV_LIMIT.

Извор: opennet.ru