Release OpenSSH 10.1

Utgitt en ny versjon av OpenSSH 10.1, en åpen kildekode-implementering av klient og server for arbeid med SSH 2.0- og SFTP-protokoller.

Hovedendringer:

• En sikkerhetsproblematikk er fikset, som lar en angriper sette inn shell-kommandoer gjennom manipulering med spesialtegn i brukernavn eller URI, som kunne bli utført ved kjøring av en kommando spesifisert gjennom «ProxyCommand»-innstillingen som inneholdt «%u»-substitusjon. Problemet berører kun systemer som tillater substitusjon av brukernavn eller URI mottatt fra usikre kilder ved oppstart av ssh.

  For å blokkere slike angrep er bruken av kontrolltegn i brukernavn som spesifiseres ved oppstart i kommandolinjen, eller som substitutes i innstillinger via %-sekvenser, forbudt. Bruken av null-tegnet («\0») i ssh:// URI er også forbudt. Unntak er gjort for navn spesifisert i konfigurasjonsfilen (det antas at dataene i konfigurasjonsfilen er pålitelig).
• Verktøyene ssh og ssh-agent har fått støtte for ed25519-nøkler lagret i PKCS#11-tokens.
• Det er lagt til en innstilling RefuseConnection i ssh_config, som innebærer at prosessen avsluttes med en feilmelding uten å forsøke å opprette en forbindelse når den behandles i en aktiv seksjon. Match host foo RefuseConnection «verden foo er ikke lenger i bruk, vennligst koble til vert bar»
• I ssh og sshd er SIGINFO-signaler lagt til for logging av informasjon om økten og aktiv kanal.
• I sshd, ved avvisning av brukergodkjenning via sertifikat, er det lagt inn logging ikke bare av årsaken til blokkering av innlogging, men også utfyllende informasjon for identifisering av det problematiske sertifikatet.
• I sshd er det lagt til en sjekk av X11-skjermnummeret i forhold til forskyvningen spesifisert i direktivet X11DisplayOffset.
• Enheter av enhetstester har fått funksjonalitet for ytelsesmåling, aktivert ved kjøring av «make UNITTEST_BENCHMARK=yes» i OpenBSD eller «make unit-bench» i andre systemer.

Endringer som potensielt kan bryte bakoverkompatibiliteten:

• I ssh ble lagt til en advarsel ved bruk av en usikker nøkkelscanningsalgoritme under oppretting av tilkobling; advarselen er lagt til på grunn av risikoen for fremtidige angrep ved bruk av tidligere lagrede trafikkdump. For å deaktivere advarselen er alternativet WarnWeakCrypto lagt til i ssh_config. Match vert unsafe.example.com WarnWeakCrypto no.
• I ssh og sshd har behandlingen av DSCP (IPQoS) respons parametere blitt betydelig endret. For interaktiv trafikk settes klasse EF (Expedited Forwarding) som standard for prioritet i trådløse nettverk. For ikke-interaktiv trafikk settes klassen til standardinnstillingen i operativsystemet. Trafikkklasse kan endres ved hjelp av IPQoS-innstillingene i ssh_config og sshd_config. ToS (type-of-service) parametere for IPv4 i IPQoS-dirkivet er nå foreldet (DSCP har erstattet ToS).
• I ssh-add implementeres nå en sertifikatlevetid som er 5 minutter lenger enn sertifikatets gyldighetstid ved tillegg til ssh-agent (for automatisk fjerning av utgåtte sertifikater). For å deaktivere denne oppførselen er alternativet «-N» lagt til i ssh-add.
• Støtte for XMSS-nøkler, som ble merket som eksperimentell og aldri ble aktivert som standard, er fjernet.
• Unix-sokler opprettet av ssh-agent og sshd er flyttet fra katalogen /tmp til ~/.ssh/agent, hvilket garanterer at disse soklene ikke kan nås av isolerte prosesser som har begrenset tilgang til filsystemet, men fritt tilgang til /tmp.

DNS-poster SHA1 SSHFP vil kunngjøres som foreldet i fremtidige utgivelser på grunn av problemer med påliteligheten til SHA1 hash-funksjonen. Disse postene vil bli ignorert, og kommandoen «ssh-keygen -r» vil generere kun SHA256 SSHFP-poster.

Kilde: opennet.ru