{"id":107307,"date":"2023-03-16T12:48:10","date_gmt":"2023-03-16T10:48:10","guid":{"rendered":"https:\/\/prohoster.info\/?p=107307"},"modified":"2023-03-17T13:35:25","modified_gmt":"2023-03-17T11:35:25","slug":"obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","title":{"rendered":"OpenSSH 9.3 update met oplossingen voor beveiligingsproblemen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De release van OpenSSH 9.3 is gepubliceerd, een open source implementatie van de client en server voor het werken met de protocollen SSH 2.0 en SFTP. In deze nieuwe versie zijn veiligheidsproblemen verholpen: <\/p>\n
\n
In de ssh-add utility is een logisch probleem ontdekt, waardoor beperkingen die met de optie «ssh-add -h» zijn ingesteld, niet aan de ssh-agent werden doorgegeven bij het toevoegen van sleutels voor smartcards. Hierdoor werd een sleutel aan de agent toegevoegd waarvoor geen beperkingen golden die alleen verbindingen vanaf bepaalde hosten toelieten.\n
In de ssh utility is een kwetsbaarheid ontdekt die kan leiden tot het lezen van gegevens uit de stack buiten de toegewezen buffer bij de verwerking van speciaal ontworpen DNS-antwoorden, wanneer de VerifyHostKeyDNS-instelling in het configuratiebestand is ingeschakeld. Het probleem zit in de ingebouwde implementatie van de getrrsetbyname() functie, die wordt gebruikt in draagbare versies van OpenSSH die zijn samengesteld zonder gebruik te maken van de externe ldns-bibliotheek (—with-ldns) en op systemen met standaardbibliotheken die geen getrrsetbyname() aanroep ondersteunen. De mogelijkheid om deze kwetsbaarheid te exploiteren, behalve voor het initi\u00ebren van een denial-of-service aanval op de ssh-client, wordt als weinig waarschijnlijk beoordeeld. <\/ul>\n
Daarnaast kan een kwetsbaarheid worden opgemerkt in de libskey bibliotheek die deel uitmaakt van OpenBSD en die wordt gebruikt in OpenSSH. Het probleem bestaat sinds 1997 en kan leiden tot buffer-overflow in de stack bij de verwerking van speciaal ontworpen hostnamen. Er wordt opgemerkt dat, hoewel de kwetsbaarheid op afstand kan worden geactiveerd via OpenSSH, deze in de praktijk nutteloos is omdat de naam van de aangevallen host (\\\/etc\\\/hostname) meer dan 126 tekens moet bevatten, en de buffer alleen kan worden overschreven met null-tekens (‘\0’). <\/p>\n
Onder de niet-beveiligingsgerelateerde wijzigingen: <\/p>\n
\n
In ssh-keygen en ssh-keyscan is ondersteuning toegevoegd voor de parameter «-Ohashalg=sha1|sha256» om het hash-algoritme voor SSHFP te kiezen.\n
In sshd is een optie «-G» toegevoegd voor het parseren en weergeven van de actieve configuratie zonder te proberen priv\u00e9-sleutels te laden en zonder extra controles uit te voeren, wat het mogelijk maakt om de configuratie te verifi\u00ebren voordat sleutels worden gegenereerd en om de verificatie door niet-privileged gebruikers uit te voeren.\n
In sshd is de isolatie op het Linux-platform versterkt door gebruik te maken van system call filtering mechanisms seccomp en seccomp-bpf. Vlaggen zijn toegevoegd aan mmap, madvise en futex in de lijst van toegestane systeemaanroepen. <\/ul>\n