Na zes maanden ontwikkeling is de release van OpenSSH 9.1 gepubliceerd, een open-source implementatie van een client en server voor het werken met de SSH 2.0 en SFTP-protocollen. De release wordt gekarakteriseerd als voornamelijk een foutoplossing, waarbij onder andere verschillende potentiële kwetsbaarheden zijn verholpen die zijn veroorzaakt door problemen met het geheugen:
- Een buffer-overflow in de code voor de behandeling van de SSH-banner in de ssh-keyscan-tool.
- Een dubbele aanroep van de functie free() bij een fout tijdens het berekenen van hashes voor bestanden in de code voor het maken en controleren van digitale handtekeningen in de ssh-keygen-tool.
- Een dubbele aanroep van de functie free() bij het verwerken van fouten in de ssh-keysign-tool.
Belangrijkste wijzigingen:
- In ssh en sshd is de directive RequiredRSASize toegevoegd, waarmee de minimaal toegestane grootte van RSA-sleutels kan worden vastgesteld. In sshd worden sleutels die kleiner zijn genegeerd, terwijl dit in ssh leidt tot het beëindigen van de verbinding.
- De draagbare versie van OpenSSH is overgeschakeld naar het gebruik van SSH-sleutels voor de ondertekening van digitale handtekeningen van commits en tags in Git.
- De SetEnv-directives in de configuratiebestanden ssh_config en sshd_config passen nu de waarde van de eerste vermelding van de omgevingsvariabele toe, indien deze meerdere keren in de configuratie is gedefinieerd (voorheen werd de laatste vermelding toegepast).
- Bij het aanroepen van de ssh-keygen-tool met de vlag "-A" (genereren van alle standaard ondersteunde typen host-sleutels) is het genereren van DSA-sleutels uitgeschakeld, die al jarenlang niet meer standaard worden gebruikt.
- In sftp-server en sftp is de extensie "users-groups-by-id@openssh.com" geïmplementeerd, waardoor de client de mogelijkheid heeft om de gebruikersnamen en groepsnamen op te vragen die overeenkomen met een opgegeven set van digitale identificatoren (uid en gid). In sftp is deze extensie gebruikt voor het weergeven van namen bij het tonen van de inhoud van een directory.
- In sftp-server is de extensie "home-directory" geïmplementeerd om de paden ~\/ en ~user\/ te ontleden, ter vervanging van de eerder voorgestelde extensie "expand-path@openssh.com" voor dezelfde doeleinden (de extensie "home-directory" is voorgesteld voor standaardisatie en wordt al door sommige clients ondersteund).
- In ssh-keygen en sshd is de mogelijkheid toegevoegd om tijd in de UTC-tijdzone op te geven bij het bepalen van de geldigheidstermijnen van certificaten en sleutels, naast de systeemtijd.
- In sftp is het toegestaan om aanvullende argumenten op te geven in de optie "-D" (bijvoorbeeld, "/usr/libexec/sftp-server -el debug3").
- In ssh-keygen is het gebruik van de vlag "-U" (gebruik van ssh-agent) toegestaan in combinatie met de operatie "-Y sign" om aan te geven dat privé-sleutels in de ssh-agent zijn geplaatst.
Bron: opennet.ru
