Utgitt en ny versjon av OpenSSH 10.1, en \u00e5pen kildekode-implementering av klient og server for arbeid med SSH 2.0- og SFTP-protokoller. <\/p>\n
Hovedendringer: <\/p>\n
\n
Sikkerhedsproblemet, der tillader en angriber at inds\u00e6tte shell-kommandoer gennem manipulation med specialtegn i brugernavne eller URI'er, som kunne udf\u00f8res ved k\u00f8rsel af kommandoen angivet i indstillingen «ProxyCommand» og indeholdende substitutionen «%u», er blevet l\u00f8st. Problemet p\u00e5virker kun systemer, der tillader brug af brugernavne eller URI'er hentet fra ikke-p\u00e5lidelige kilder ved opstart af ssh.\n
For at blokere s\u00e5danne angreb er det forbudt at bruge kontroltegn i brugernavne angivet ved opstart i kommandolinjen eller indsat i indstillingerne via %-sekvenser. Det er ogs\u00e5 forbudt at bruge det nul-tegn («\0») i ssh:\/\/ URI'er. Der er dog undtagelse for navne angivet i konfigurationsfilen (hvor det antages, at konfigurationsfilen er p\u00e5lidelig). <\/p>\n
Verkt\u00f8yene ssh og ssh-agent har f\u00e5tt st\u00f8tte for ed25519-n\u00f8kler lagret i PKCS#11-tokens.\n
Indstillingen RefuseConnection er blevet tilf\u00f8jet til konfigurationsfilen ssh_config, hvorved en aktiv sektion afsluttes med en fejlmeddelelse uden fors\u00f8g p\u00e5 at oprette forbindelse. Match host foo RefuseConnection «v\u00e6rt foo er ikke l\u00e6ngere i brug, forbind til v\u00e6rt bar»\n
I ssh og sshd er SIGINFO-signaler lagt til for logging av informasjon om \u00f8kten og aktiv kanal.\n
I sshd, ved avvisning av brukergodkjenning via sertifikat, er det lagt inn logging ikke bare av \u00e5rsaken til blokkering av innlogging, men ogs\u00e5 utfyllende informasjon for identifisering av det problematiske sertifikatet.\n
I sshd er det lagt til en sjekk av X11-skjermnummeret i forhold til forskyvningen spesifisert i direktivet X11DisplayOffset.\n
Unit-testene er blevet udvidet med pr\u00e6stationsm\u00e5lingsegenskaber, der aktiveres ved k\u00f8rsel af «make UNITTEST_BENCHMARK=yes» i OpenBSD eller «make unit-bench» i andre systemer. <\/ul>\n
Endringer som potensielt kan bryte bakoverkompatibiliteten: <\/p>\n
\n
I ssh ble lagt til en advarsel ved bruk av en usikker n\u00f8kkelscanningsalgoritme under oppretting av tilkobling; advarselen er lagt til p\u00e5 grunn av risikoen for fremtidige angrep ved bruk av tidligere lagrede trafikkdump. For \u00e5 deaktivere advarselen er alternativet WarnWeakCrypto lagt til i ssh_config. Match vert unsafe.example.com WarnWeakCrypto no.\n
I ssh og sshd har behandlingen av DSCP (IPQoS) respons parametere blitt betydelig endret. For interaktiv trafikk settes klasse EF (Expedited Forwarding) som standard for prioritet i tr\u00e5dl\u00f8se nettverk. For ikke-interaktiv trafikk settes klassen til standardinnstillingen i operativsystemet. Trafikkklasse kan endres ved hjelp av IPQoS-innstillingene i ssh_config og sshd_config. ToS (type-of-service) parametere for IPv4 i IPQoS-dirkivet er n\u00e5 foreldet (DSCP har erstattet ToS).\n
I ssh-add er der ved tilf\u00f8jelse af certifikat til ssh-agent implementeret en levetid for certifikatet, der er fem minutter l\u00e6ngere end certifikatets udl\u00f8bstid (til automatisk fjernelse af udl\u00f8bne certifikater). For at deaktivere denne adf\u00e6rd er der tilf\u00f8jet en mulighed «-N» i ssh-add.\n
St\u00f8tte for XMSS-n\u00f8kler, som ble merket som eksperimentell og aldri ble aktivert som standard, er fjernet.\n
Unix-sokler opprettet av ssh-agent og sshd er flyttet fra katalogen \/tmp til ~\/.ssh\/agent, hvilket garanterer at disse soklene ikke kan n\u00e5s av isolerte prosesser som har begrenset tilgang til filsystemet, men fritt tilgang til \/tmp. <\/ul>\n