De release van OpenSSH 9.3 is gepubliceerd, een open source implementatie van de client en server voor het werken met de protocollen SSH 2.0 en SFTP. In deze nieuwe versie zijn veiligheidsproblemen verholpen:
- In de utility ssh-add is een logische fout gevonden waardoor bij het toevoegen van sleutels voor smartcards aan de ssh-agent de beperkingen, ingesteld met de optie 'ssh-add -h', niet aan de agent werden doorgegeven. Hierdoor werd een sleutel aan de agent toegevoegd waarvoor geen beperkingen golden die alleen verbindingen van bepaalde hosts toestonden.
- In de utility ssh is een kwetsbaarheid ontdekt die kan leiden tot het uitlezen van gegevens uit de stack buiten de toegewezen buffer bij het verwerken van speciaal opgemaakte DNS-antwoorden, als de instelling VerifyHostKeyDNS in het configuratiebestand is ingeschakeld. Het probleem is aanwezig in de ingebouwde implementatie van de functie getrrsetbyname(), die wordt gebruikt in draagbare versies van OpenSSH die zijn opgebouwd zonder gebruik te maken van de externe bibliotheek ldns (—with-ldns) en op systemen met standaardbibliotheken die geen oproep naar getrrsetbyname() ondersteunen. De kans op exploitatie van de kwetsbaarheid, behalve voor het initiëren van een denial-of-service-aanval op de ssh-client, wordt als laag ingeschat.
Daarnaast kan de kwetsbaarheid in de OpenBSD-bibliotheek libskey, die wordt gebruikt in OpenSSH, worden opgemerkt. Dit probleem bestaat al sinds 1997 en kan leiden tot een buffer-overflow in de stack bij het verwerken van speciaal opgemaakte hostnamen. Het wordt opgemerkt dat hoewel de kwetsbaarheid op afstand kan worden geactiveerd via OpenSSH, het in de praktijk nutteloos is omdat de hostnaam die wordt aangevallen (/etc/hostname) meer dan 126 tekens moet bevatten, terwijl de buffer alleen kan worden overschreven met null-tekens ('\0').
Onder de niet-beveiligingsgerelateerde wijzigingen:
- In ssh-keygen en ssh-keyscan is ondersteuning toegevoegd voor de parameter '-Ohashalg=sha1|sha256' om het hashalgoritme voor SSHFP-vertalingen te kiezen.
- In sshd is de optie '-G' toegevoegd voor het parseren en weergeven van de actieve configuratie zonder te proberen privésleutels te laden en zonder aanvullende controles uit te voeren, wat het mogelijk maakt om de configuratie te controleren in de fase vóór het genereren van sleutels en deze te laten verificeren door niet-privilege gebruikers.
- In sshd is de isolatie op het Linux-platform versterkt door gebruik te maken van system call filtering mechanisms seccomp en seccomp-bpf. Vlaggen zijn toegevoegd aan mmap, madvise en futex in de lijst van toegestane systeemaanroepen.
Bron: opennet.ru
