Keluaran OpenSSH 8.6 telah diterbitkan, pelaksanaan terbuka klien dan pelayan untuk bekerja menggunakan protokol SSH 2.0 dan SFTP. Versi baharu menghapuskan kelemahan dalam pelaksanaan arahan LogVerbose, yang muncul dalam keluaran sebelumnya dan membolehkan anda meningkatkan tahap maklumat penyahpepijatan yang dibuang ke dalam log, termasuk keupayaan untuk menapis mengikut templat, fungsi dan fail yang dikaitkan dengan kod yang dilaksanakan. dengan keistimewaan tetapan semula dalam proses sshd terpencil dalam persekitaran kotak pasir.
Penyerang yang mengawal proses tanpa hak menggunakan beberapa kelemahan yang belum diketahui boleh menggunakan isu LogVerbose untuk memintas kotak pasir dan menyerang proses yang berjalan dengan keistimewaan yang tinggi. Kerentanan LogVerbose dianggap tidak mungkin berlaku dalam amalan kerana tetapan LogVerbose dilumpuhkan secara lalai dan biasanya hanya digunakan semasa nyahpepijat. Serangan itu juga memerlukan mencari kelemahan baharu dalam proses yang tidak mendapat keistimewaan.
Perubahan dalam OpenSSH 8.6 tidak berkaitan dengan kerentanan:
- Sambungan protokol baharu telah dilaksanakan dalam sftp dan sftp-server "[e-mel dilindungi]", yang membolehkan klien SFTP mendapatkan maklumat tentang sekatan yang ditetapkan pada pelayan, termasuk had pada saiz paket maksimum dan operasi tulis dan baca. Dalam sftp, sambungan baharu digunakan untuk memilih saiz blok optimum apabila memindahkan data.
- Tetapan ModuliFile telah ditambahkan pada sshd_config untuk sshd, membolehkan anda menentukan laluan ke fail "moduli" yang mengandungi kumpulan untuk DH-GEX.
- Pembolehubah persekitaran TEST_SSH_ELAPSED_TIMES telah ditambahkan pada ujian unit untuk membolehkan output masa berlalu sejak setiap ujian dijalankan.
- Antara muka permintaan kata laluan GNOME dibahagikan kepada dua pilihan, satu untuk GNOME2 dan satu untuk GNOME3 (contrib/gnome-ssk-askpass3.c). Varian untuk GNOME3 untuk meningkatkan keserasian Wayland menggunakan panggilan ke gdk_seat_grab() apabila mengawal tangkapan papan kekunci dan tetikus.
- Tidak membenarkan panggilan sistem fstatat64 telah ditambahkan pada kotak pasir berasaskan seccomp-bpf yang digunakan dalam Linux.
Sumber: opennet.ru