{"id":112310,"date":"2023-12-19T03:10:31","date_gmt":"2023-12-19T01:10:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-9-6-c-ustraneniem-uyazvimostej"},"modified":"2023-12-19T03:10:31","modified_gmt":"2023-12-19T01:10:31","slug":"reliz-openssh-9-6-c-ustraneniem-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/reliz-openssh-9-6-c-ustraneniem-uyazvimostej","title":{"rendered":"Wydanie OpenSSH 9.6 z usuni\u0119ciem luk w zabezpieczeniach","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Opublikowano wydanie OpenSSH 9.6, otwartej implementacji klienta i serwera dzia\u0142aj\u0105cego w protoko\u0142ach SSH 2.0 i SFTP. W nowej wersji usuni\u0119to trzy problemy z bezpiecze\u0144stwem: <\/p>\n
\n
Wra\u017cliwo\u015b\u0107 w protokole SSH (CVE-2023-48795, atak \u201eTerrapin\u201d), kt\u00f3ra pozwala w trakcie ataku MITM na powr\u00f3t do mniej bezpiecznych algorytm\u00f3w autoryzacji i wy\u0142\u0105czenie zabezpiecze\u0144 przed atakami wykorzystuj\u0105cymi zewn\u0119trzne kana\u0142y, rekonstruuj\u0105cymi wprowadzenie poprzez analiz\u0119 op\u00f3\u017anie\u0144 mi\u0119dzy naci\u015bni\u0119ciami klawiszy na klawiaturze. Metoda ataku zosta\u0142a opisana w osobnej wiadomo\u015bci.\n
Wra\u017cliwo\u015b\u0107 w narz\u0119dziu ssh, kt\u00f3ra pozwala na podstawienie dowolnych polece\u0144 shellowych poprzez manipulacj\u0119 warto\u015bciami logina i hosta, zawieraj\u0105cymi znaki specjalne. Wra\u017cliwo\u015b\u0107 mo\u017ce by\u0107 wykorzystywana, je\u015bli atakuj\u0105cy kontroluje warto\u015bci logina i nazwy hosta przekazywane w ssh, dyrektywy ProxyCommand oraz LocalCommand lub bloki \u201ematch exec\u201d, w kt\u00f3rych podane s\u0105 znaki podstawienia, takie jak %u i %h. Na przyk\u0142ad, niepoprawne dane logowania i host mog\u0105 by\u0107 podstawione w systemach korzystaj\u0105cych z submodu\u0142\u00f3w w Git, poniewa\u017c Git nie zabrania u\u017cywania znak\u00f3w specjalnych w nazwie hosta i u\u017cytkownika. Podobna wra\u017cliwo\u015b\u0107 wyst\u0119puje r\u00f3wnie\u017c w libssh.\n
Error in ssh-agent, where when adding private keys PKCS#11, restrictions were applied only to the first key returned by the PKCS#11 token. The problem does not affect regular private keys, FIDO tokens, and keys set without restrictions. <\/ul>\n
Inne zmiany: <\/p>\n
\n
W ssh dodano podstawienie \u201e%j\u201d, rozwijaj\u0105ce si\u0119 w nazw\u0119 hosta okre\u015blon\u0105 w dyrektywie ProxyJump.\n
W ssh dodano wsparcie dla ustawienia ChannelTimeout po stronie klienta, kt\u00f3re mo\u017cna wykorzysta\u0107 do zamykania nieaktywnych kana\u0142\u00f3w.\n
W ssh, sshd, ssh-add i ssh-keygen dodano wsparcie dla odczytu prywatnych kluczy ED25519 w formacie PEM PKCS8 (wcze\u015bniej wspierany by\u0142 tylko format OpenSSH).\n
W ssh i sshd dodano rozszerzenie protoko\u0142u dla ponownej negocjacji algorytm\u00f3w podpisu cyfrowego do autoryzacji za pomoc\u0105 kluczy publicznych, realizowanej na etapie po otrzymaniu danych o nazwie u\u017cytkownika. Na przyk\u0142ad, za pomoc\u0105 rozszerzenia mo\u017cna selektywnie u\u017cywa\u0107 innych algorytm\u00f3w w powi\u0105zaniu z u\u017cytkownikami poprzez wskazanie PubkeyAcceptedAlgorithms w bloku \u201eMatch user\u201d.\n
W ssh-add i ssh-agent dodano rozszerzenie protoko\u0142u do definiowania certyfikat\u00f3w przy \u0142adowaniu kluczy PKCS#11, co pozwala na u\u017cycie certyfikat\u00f3w zwi\u0105zanych z prywatnymi kluczami PKCS#11 we wszystkich narz\u0119dziach OpenSSH wspieraj\u0105cych ssh-agent, a nie tylko w ssh.\n
Poprawiono definiowanie nieobs\u0142ugiwanych lub niestabilnych flag kompilatora, takich jak \u201e-fzero-call-used-regs\u201d w clang.\n
Aby ograniczy\u0107 uprawnienia procesu sshd w wersjach OpenSolaris wspieraj\u0105cych interfejs getpflags(), wykorzystano tryb PRIV_XPOLICY zamiast PRIV_LIMIT. <\/ul>\n