Etter seks måneders utvikling har utgivelsen av OpenSSH 9.1 blitt publisert, en åpen implementering av en klient og server for arbeid over SSH 2.0- og SFTP-protokollene. Utgivelsen er karakterisert som å inneholde for det meste feilrettinger, inkludert flere potensielle sårbarheter forårsaket av minneproblemer:
- Enkeltbyte-overflyt i SSH-bannerbehandlingskoden i ssh-keyscan-verktøyet.
- Dobbeltkall til free()-funksjonen i tilfelle en feil ved beregning av hashes for filer i koden for å lage og verifisere digitale signaturer i ssh-keygen-verktøyet.
- Dobbeltkall til free()-funksjonen ved håndtering av feil i ssh-keysign-verktøyet.
Hovedendringer:
- RequiredRSASize-direktivet er lagt til ssh og sshd, slik at du kan bestemme den minste tillatte størrelsen på RSA-nøkler. I sshd vil mindre nøkler bli ignorert, og i ssh vil de resultere i at forbindelsen blir avsluttet.
- Den bærbare utgaven av OpenSSH har blitt konvertert til å bruke SSH-nøkler til å signere forpliktelser og tagger digitalt i Git.
- SetEnv-direktivene i konfigurasjonsfilene ssh_config og sshd_config bruker nå verdien fra den første omtalen av miljøvariabelen hvis den er definert mer enn én gang i konfigurasjonen (tidligere ble den siste omtalen brukt).
- Når du kaller opp ssh-keygen-verktøyet med "-A"-flagget (genererer alle typer vertsnøkler som støttes som standard), deaktiveres genereringen av DSA-nøkler, som ikke har blitt brukt som standard på flere år.
- sftp-server og sftp implementerer utvidelsen "[e-postbeskyttet]", som gir klienten muligheten til å be om bruker- og gruppenavn som tilsvarer et spesifisert sett med digitale identifikatorer (uid og gid). I sftp brukes denne utvidelsen til å vise navn når du viser innholdet i en katalog.
- sftp-server implementerer "hjemmekatalog"-utvidelsen for å utvide ~/ og ~user/-baner, et alternativ til den tidligere foreslåtte utvidelsen "[e-postbeskyttet]"("hjemmekatalog"-utvidelsen er foreslått for standardisering og støttes allerede av noen klienter).
- ssh-keygen og sshd legger til muligheten til å spesifisere tid i UTC-tidssonen når de bestemmer sertifikat- og nøkkelgyldighetsintervaller, i tillegg til systemtid.
- sftp lar flere argumenter spesifiseres med "-D"-alternativet (for eksempel "/usr/libexec/sftp-server -el debug3").
- ssh-keygen tillater bruk av "-U"-flagget (bruk ssh-agent) sammen med "-Y sign"-operasjoner for å bestemme at private nøkler er vert for ssh-agent.
Kilde: opennet.ru