{"id":183658,"date":"2026-10-06T22:53:58","date_gmt":"2026-10-06T20:53:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-openssh-10-6-s-ustraneniem-uyazvimostej"},"modified":"2026-10-06T22:54:02","modified_gmt":"2026-10-06T20:54:02","slug":"openssh-10-6-released-with-vulnerability-fixes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/openssh-10-6-released-with-vulnerability-fixes","title":{"rendered":"OpenSSH 10.6 uitgebracht met het verhelpen van kwetsbaarheden","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De publicatie van OpenSSH 10.6, een open implementatie van een client en server voor de protocollen SSH 2.0 en SFTP. Beveiligingsproblemen zijn verholpen, waarvan de meeste zijn ontdekt bij het analyseren van de code met behulp van AI-tools (CVE-identificaties zijn niet toegewezen): <\/p>\n
\n
Een kwetsbaarheid in sftp, waardoor een bestand buiten de doelmap kon worden geschreven wanneer verbinding werd gemaakt met een door kwaadwillenden gecontroleerde server.\n
Twee kwetsbaarheden in de implementatie van GSSAPI in sshd, veroorzaakt door het bewaren van de status tussen verschillende authenticatiepogingen. GSSAPI-inloggegevens konden worden opgeslagen na een mislukte poging en later worden gebruikt na een succesvolle authenticatiepoging. De problemen treden op wanneer de instelling GSSAPIAuthentication is ingeschakeld.\n
In sshd en ssh is de ondersteuning voor LZ77-compressie uitgeschakeld vanwege de mogelijkheid van een aanval via een zijkanaal, waarmee de inhoud uit een andere sessie kan worden hersteld wanneer verbinding wordt gemaakt via een gedeeld multiplexverbinding met het slachtoffer, gebruikmakend van het feit dat de door kwaadwillenden gecontroleerde invoer invloed heeft op de totale lengte van de versleutelde berichten (LZ77 vervangt herhaalde regels door referenties in een buffer die voor alle kanalen gedeeld is).\n
In de ssh-tool zijn de symbolen '$' en '\\' verboden in gebruikersnamen die in de opdrachtregel zijn ingevoerd, omdat ze het mogelijk maakten om code-uitvoering te organiseren door ze in de ProxyCommand en Match exec richtlijnen op te nemen, zoals aangegeven in de instellingen.\n
In ssh-keygen is een incorrecte verwerking van de zomertijd opgelost, waardoor de vervaldatum van certificaten met 1 uur werd verschoven.\n
Om de creatie van zip-bommen te blokkeren, is in sshd en ssh een controle toegevoegd op het overschrijden van de maximale pakkettijd bij het uitpakken van gegevens.\n
In sshd is een probleem opgelost waardoor de beperkingen van het sleutelwoord 'restrict' in het bestand authorized_keys konden worden omzeild, dat niet van toepassing was op tunnels (PermitTunnel).\n
In sshd is een onjuiste interpretatie van de optie 'none' binnen Match-blokken verholpen, die in sommige richtlijnen, zoals AuthorizedPrincipalsFile, werd ge\u00efnterpreteerd als een bestandsnaam in plaats van als een indicator voor het uitschakelen van de richtlijn.\n
In sshd is het ontbreken van het terugzetten van root-rechten op platforms die geen doorvoer van bestandsdescriptors ondersteunen en root-rechten vereisen voor de toewijzing van PTY, verholpen. Dit probleem doet zich voor in QNX 6, SCO OpenServer 5 en bij het bouwen met de optie '--disable-fd-passing'. <\/ul>\n
Wijzigingen die niet gerelateerd zijn aan kwetsbaarheden: <\/p>\n
\n
Ondersteuning voor het hybride crypto-algoritme ssh-mldsa44-ed25519 is ingeschakeld, wat bestand is tegen kwaadaardige aanvallen door quantumcomputers.\n
In sshd_config is de optie WarnWeakCrypto ge\u00efmplementeerd en standaard ingeschakeld om waarschuwingen weer te geven over verbindingen die gebruikmaken van sleutels die niet bestand zijn tegen aanvallen door quantumcomputers.\n
In ssh-keygen en ssh-add is de controle op het beleid credProtect ge\u00efmplementeerd in de referenties om te voldoen aan de verificatievereisten (PIN of biometrie) voordat toegang tot residenti\u00eble sleutels op FIDO-tokens is verleend.\n
In ssh-add is de vlag '-P' toegevoegd om optionele invoer van de PIN-code voor FIDO- en PKCS#11-tokens over te slaan.\n
In ssh is in de ~I-opdracht informatie over de versies van lokale en externe systemen ge\u00efmplementeerd.\n
In sftp is aan de commando's mkdir\/lmkdir de vlag '-p' toegevoegd om directories te maken indien nodig.\n
In ssh-keygen is de modus 'hexdump' toegevoegd voor het exporteren van sleutels in de vorm van hex dumps (bijvoorbeeld voor opname in documentatie).\n
In ssh en sshd is het mogelijk om ChannelTimeout-instructies met een nauwkeurigheid tot op honderdste seconde op te geven.\n
In sshd is de optie AgentSocketPath toegevoegd om het pad naar $SSH_AUTH_SOCK op te geven bij agent forwarding (bijvoorbeeld user:.ssh\/agent voor submappen in $HOME en shared:\/tmp voor gedeelde mappen).\n
In ssh-agent is de vlag '-A' toegevoegd om de mappen met sockets van de agent aan te geven, waarbij de prefixen 'user:' en 'shared:' zijn toegestaan zoals in de optie AgentSocketPath.\n
In sshd is de controle van openbare sleutels gescheiden van de pogingen tot authenticatie. Er is een optie 'PubkeyOptions max-pk-ok:nnnn' toegevoegd om het aantal pogingen tot controle van openbare sleutels in te stellen (standaard 6), waarna de verbinding wordt verbroken omdat de MaxAuthTries-limiet is bereikt.\n
In ssh en sshd is ondersteuning voor de waarde 'all' toegevoegd aan de optie TCPKeepAlive, die het verzenden van keepalive-pakketten inschakelt, niet alleen voor de hoofdverbinding, maar ook voor de doorgegeven verbindingen. <\/ul>\n