{"id":112310,"date":"2023-12-19T03:10:31","date_gmt":"2023-12-19T01:10:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-9-6-c-ustraneniem-uyazvimostej"},"modified":"2023-12-19T03:10:31","modified_gmt":"2023-12-19T01:10:31","slug":"reliz-openssh-9-6-c-ustraneniem-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/reliz-openssh-9-6-c-ustraneniem-uyazvimostej","title":{"rendered":"Release van OpenSSH 9.6 met veiligheidspatches","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De release van OpenSSH 9.6 is gepubliceerd, een open-source implementatie van een client en server voor het werken met de SSH 2.0 en SFTP protocollen. In de nieuwe versie zijn drie beveiligingsproblemen verholpen: <\/p>\n
\n
Een kwetsbaarheid in het SSH-protocol (CVE-2023-48795, aanval \u2018Terrapin\u2019), die tijdens een MITM-aanval de verbinding kan terugdraaien naar minder veilige authenticatie-algoritmen en bescherming tegen aanvallen via externe kanalen kan uitschakelen, waarbij invoer wordt gereproduceerd door het analyseren van de vertraging tussen toetsaanslagen op het toetsenbord. De aanvalsmethode is in een apart artikel beschreven.\n
Een kwetsbaarheid in de ssh-tool waarmee willekeurige shell-opdrachten kunnen worden ingevoegd door te manipuleren met de waarden van inlognaam en host, die speciale symbolen bevatten. De kwetsbaarheid kan worden misbruikt als de aanvaller de waarden van de inlognaam en hostnaam controleert die naar ssh worden doorgegeven, evenals de ProxyCommand- en LocalCommand-directieven of de \u2018match exec\u2019-blokken waarin vervangingsymbolen zoals %u en %h zijn opgegeven. Bijvoorbeeld, onjuiste inlognaam en host kunnen worden ingevoerd in systemen die submodules in Git gebruiken, aangezien Git geen speciale symbolen in de hostname en gebruikersnaam verbiedt. Een soortgelijke kwetsbaarheid komt ook voor in libssh.\n
Een fout in ssh-agent waardoor bij het toevoegen van PKCS#11 priv\u00e9-sleutels, de beperkingen alleen van toepassing waren op de eerste sleutel die door de PKCS#11-token werd geretourneerd. Dit probleem heeft geen betrekking op gewone priv\u00e9-sleutels, FIDO-tokens en sleutels die zonder beperkingen zijn opgegeven. <\/ul>\n
Overige wijzigingen: <\/p>\n
\n
In ssh is de vervangingsoptie \u2018%j\u2019 toegevoegd, die wordt uitgepakt naar de hostname opgegeven via de ProxyJump-directieve.\n
In ssh is ondersteuning toegevoegd voor het instellen van ChannelTimeout aan de clientzijde, die kan worden gebruikt om inactieve kanalen te be\u00ebindigen.\n
In ssh, sshd, ssh-add en ssh-keygen is ondersteuning toegevoegd voor het lezen van ED25519 priv\u00e9-sleutels in PEM PKCS8-formaat (voorheen werd alleen het OpenSSH-formaat ondersteund).\n
In ssh en sshd is een protocolextensie toegevoegd voor heronderhandeling van de algoritmen voor digitale handtekening voor authenticatie met openbare sleutels, uitgevoerd na het verkrijgen van gegevens over de gebruikersnaam. Bijvoorbeeld, met behulp van de extensie kunnen selectief andere algoritmen worden gebruikt in verband met gebruikers door de PubkeyAcceptedAlgorithms in het \u2018Match user\u2019-blok op te geven.\n
In ssh-add en ssh-agent is een protocolextensie toegevoegd voor het toewijzen van certificaten bij het laden van PKCS#11-sleutels, waardoor het mogelijk is om certificaten die aan PKCS#11 priv\u00e9sleutels zijn gekoppeld, te gebruiken in alle OpenSSH-hulpprogramma's die ssh-agent ondersteunen, en niet alleen in ssh.\n
Verbeterde identificatie van niet-ondersteunde of onbetrouwbare compilatorvlaggen, zoals \u2018-fzero-call-used-regs\u2019 in clang.\n
Om de privileges van het sshd-proces in OpenSolaris-versies die de getpflags()-interface ondersteunen te beperken, is de PRIV_XPOLICY-modus ingeschakeld in plaats van PRIV_LIMIT. <\/ul>\n