Dropbear SSH ဆာဗာဖြန့်ချိမှု 2020.79

မိတ်ဆက်ပေးသည်။ အသစ်ထွက် Dropbear 2020.79ကျစ်လစ်သိပ်သည်းသော MIT-လိုင်စင်ရ SSH ဆာဗာနှင့် ကြိုးမဲ့ရောက်တာများကဲ့သို့သော မြှုပ်သွင်းထားသောစနစ်များတွင် အဓိကအသုံးပြုသည့် ကလိုင်းယင့်။ Dropbear သည် မမ်မိုရီသုံးစွဲမှုနည်းပါးခြင်း (uClibc နှင့် တည်ငြိမ်စွာချိတ်ဆက်သောအခါတွင် ၎င်းသည် 110kB သာကြာမြင့်သည်)၊ တည်ဆောက်မှုအဆင့်တွင် မလိုအပ်သောလုပ်ဆောင်နိုင်စွမ်းများကို ပိတ်နိုင်သည့်စွမ်းရည်၊ နှင့် busybox ကဲ့သို့သော စီစဥ်လုပ်ဆောင်နိုင်သောဖိုင်တစ်ခုတွင် client နှင့် server ကိုတည်ဆောက်ရန်အတွက် ပံ့ပိုးမှုတို့ပါဝင်သည်။ Dropbear သည် X11 ထပ်ဆင့်ပို့ခြင်းကို ပံ့ပိုးပေးသည်၊ OpenSSH သော့ဖိုင် (~/.ssh/authorized_keys) နှင့် တွဲဖက်အသုံးပြုနိုင်ပြီး transit host မှတဆင့် ချိတ်ဆက်မှုပေါင်းများစွာကို ဖန်တီးနိုင်သည်။

В ပြဿနာအသစ်:

• hostkeys နှင့် authorized_keys များတွင် Ed25519 ဒစ်ဂျစ်တယ်လက်မှတ်ဆိုင်ရာ အယ်လဂိုရီသမ်အတွက် ပံ့ပိုးမှု ထပ်လောင်းထည့်ထားသည်။
• Daniel Bernstein မှ ဖန်တီးထားသော ChaCha20 stream cipher နှင့် Poly1305 message authentication algorithms အပေါ် အခြေခံ၍ စစ်မှန်ကြောင်းအတည်ပြုခြင်းပရိုတိုကောအတွက် ပံ့ပိုးမှု ထပ်လောင်းထည့်ထားပါသည်။
• sha-2 ပံ့ပိုးမှု အဆုံးသတ်မှုကြောင့် OpenSSH အတွက် မကြာမီ မဖြစ်မနေ လိုအပ်လာမည့် rsa-sha1 ဒစ်ဂျစ်တယ် လက်မှတ်ဖော်မတ်အတွက် ထပ်လောင်းပံ့ပိုးမှု (လက်ရှိ RSA ကီးများသည် hostkeys/authorized_keys မပြောင်းလဲဘဲ ဖော်မတ်အသစ်ဖြင့် အလုပ်လုပ်နိုင်ပါမည်)။
• curve25519 ၏အကောင်အထည်ဖော်မှုကို TweetNaCl ပရောဂျက်မှပိုမိုသေးငယ်သောဗားရှင်းဖြင့်အစားထိုးခဲ့သည်။
• AES GCM ပံ့ပိုးမှု ထပ်ထည့်ခဲ့သည် (မူလအားဖြင့် ပိတ်ထားသည်)။
• ပုံမှန်အားဖြင့် ပိတ်ထားခြင်းများသည် CBC စာဝှက်များ၊ 3DES၊ hmac-sha1-96 နှင့် x11 ထပ်ဆင့်ပို့ခြင်း ဖြစ်သည်။
• IRIX OS ဖြင့် လိုက်ဖက်ညီသော ပြဿနာများကို ဖြေရှင်းခဲ့သည်။
• authorized_keys ကိုသုံးမည့်အစား အများသူငှာသော့များကို တိုက်ရိုက်သတ်မှတ်ရန် API တစ်ခုထပ်ထည့်ထားသည်။
• SCP တွင် အားနည်းချက်ကို ပြင်ဆင်ထားသည်။ CVE-2018-20685ဆာဗာသည် အမည်အလွတ် သို့မဟုတ် ကာလအပိုင်းအခြားတစ်ခုဖြင့် လမ်းညွှန်တစ်ခုကို ပြန်ပေးသည့်အခါ ပစ်မှတ်လမ်းညွှန်သို့ ဝင်ရောက်ခွင့်ကို ပြောင်းလဲခွင့်ပြုသည်။ ဆာဗာမှ "D0777 0 \n" သို့မဟုတ် "D0777 0 .\n" အမိန့်ကို လက်ခံရရှိသောအခါ၊ client သည် လက်ရှိ directory သို့ ဝင်ရောက်ခွင့်ဆိုင်ရာ အပြောင်းအလဲကို အသုံးပြုခဲ့သည်။

source: opennet.ru