Lansering av OpenSSH 10.3

Etter et halvt års utvikling er OpenSSH 10.3, en åpen implementering av klienten, utgitt. serveren for arbeid med SSH 2.0 og SFTP-protokoller. Hovedendringene er:

• Sårbarheten som tillot en angriper som kontrollerte brukernavnet sendt ved oppstart av ssh-verktøyet, potensielt å få utført vilkårlige shell-kommandoer, er fikset. Sårbarheten oppstår i systemer som bruker '%u'-substisjon i noen direktiver i konfigurasjonsfilen, som 'Match exec'. Problemet skyldes sjekk av spesialtegn i brukernavnet etter at %-substitusjonene i ssh_config-filen er utført.
• Sikkerhetsproblemet i sshd som skyldtes feil i sammenligningen av authorized_keys alternativet principals="" med listen av navns (principal) i sertifikatet, der et komma er angitt i navnene, er fikset. For å utnytte sårbarheten skal det være angitt flere navn i authorized_keys alternativet principals="", og sertifiseringssentret må utstede et sertifikat med flere navn adskilt med komma (slikt er vanligvis ikke tillatt). Oppførselen for sertifikater med tomt navn er endret – tidligere ble et tomt navn omfattet av alle authorized_keys alternativene principals="", men nå gjelder det ikke.
• I scp er et problem fikset der filoverføring med root-rettigheter som anga '–O' uten '–p' ikke renset setuid/setgid-flaggene etter opplasting.
• I sshd er et problem med behandling av ECDSA-nøkler i PubkeyAcceptedAlgorithms og HostbasedAcceptedAlgorithms- direktivene fikset, slik at ved angivelse av hvilken som helst ECDSA-algoritme (for eksempel 'ecdsa-sha2-nistp384') ble også alle andre ECDSA-baserte algoritmer akseptert, selv om de ikke var eksplisitt oppført i listen over tillatte.
• I ssh og sshd har støtte for ID-er (codepoints) definert av IANA i draft-ietf-sshm-ssh-agent spesifikasjonen blitt lagt til i samhandling med SSH-agenter. Støtte for tidligere brukte ID-er som '@openssh.com' er bevart.
• I ssh-agent er utvidelsen 'query', definert i draft-ietf-sshm-ssh-agent spesifikasjonen, implementert for å kunne bestemme hvilke funksjoner agenten støtter. For å be om listen over støttede protokollextensjoner via 'query'-forespørselen har ssh-add-verktøyet fått alternativet '–Q'.
• I sshd_config er det tillatt å spesifisere flere filer i RevokedKeys direktivet, og i ssh_config - i RevokedHostKeys direktivet.
• I ssh er det lagt til en escape-kommando «~I» og alternativet «-O conninfo» for å vise informasjon om den nåværende tilkoblingen, samt alternativet «-O channels» for å vise informasjon om åpne kanaler.
• I sshd er det implementert et alternativ 'invaliduser' i direktivet PerSourcePenalties for å legge til en forsinkelse i tilfelle pålogging med en ikke-eksisterende bruker (standard 5 sekunder). Det er også mulig å spesifisere ikke-heltallige forsinkelsesverdier.
• I sshd er alternativet GSSAPIDelegateCredentials lagt til for å håndtere mottak av delegerte legitimasjoner gitt av klienten.
• I ssh-keygen er det lagt til støtte for å skrive ED25519-nøkler i PKCS8-format.
• Det er lagt til støtte for digitale signaturordninger ed25519, implementert via libcrypto.

Kilde: opennet.ru