{"id":183658,"date":"2026-10-06T22:53:58","date_gmt":"2026-10-06T20:53:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-openssh-10-6-s-ustraneniem-uyazvimostej"},"modified":"2026-10-06T22:54:02","modified_gmt":"2026-10-06T20:54:02","slug":"openssh-10-6-released-with-vulnerability-fixes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/openssh-10-6-released-with-vulnerability-fixes","title":{"rendered":"Wydanie OpenSSH 10.6 z usuni\u0119ciem luk w zabezpieczeniach","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Opublikowano wersj\u0119 OpenSSH 10.6, otwartej implementacji klienta i serwera do pracy z protoko\u0142ami SSH 2.0 i SFTP. Usuni\u0119to problemy z bezpiecze\u0144stwem, z kt\u00f3rych wi\u0119kszo\u015b\u0107 zosta\u0142a wykryta podczas analizy kodu przy u\u017cyciu narz\u0119dzi AI (identyfikatory CVE nie zosta\u0142y przypisane): <\/p>\n
\n
Luka w sftp, kt\u00f3ra pozwala na zapisanie pliku poza docelowym katalogiem przy \u0142\u0105czeniu z kontrolowanym przez przest\u0119pc\u0119 serwerem.\n
Dwie luki w implementacji GSSAPI w sshd, spowodowane zachowaniem stanu mi\u0119dzy r\u00f3\u017cnymi pr\u00f3bami uwierzytelnienia. Dane GSSAPI mog\u0142y zosta\u0107 zachowane po nieudanej pr\u00f3bie uwierzytelnienia i u\u017cyte po nast\u0119pnej udanej pr\u00f3bie. Problemy wyst\u0119puj\u0105 przy w\u0142\u0105czonej konfiguracji GSSAPIAuthentication.\n
W sshd i ssh wy\u0142\u0105czono wsparcie dla kompresji LZ77 z powodu mo\u017cliwo\u015bci przeprowadzenia ataku po\u015bredniego, kt\u00f3ry pozwala na odzyskanie tre\u015bci z innej sesji przy po\u0142\u0105czeniu przez wsp\u00f3lne z ofiar\u0105 po\u0142\u0105czenie multiplexowane, korzystaj\u0105c z faktu, \u017ce kontrolowane przez przest\u0119pc\u0119 dane wej\u015bciowe wp\u0142ywaj\u0105 na ca\u0142kowit\u0105 d\u0142ugo\u015b\u0107 przesy\u0142anych zaszyfrowanych wiadomo\u015bci (LZ77 zast\u0119puje powtarzaj\u0105ce si\u0119 ci\u0105gi odniesieniami w wsp\u00f3lnym dla wszystkich kana\u0142\u00f3w buforze).\n
W narz\u0119dziu ssh zabronione jest u\u017cywanie znak\u00f3w '$' i '\\' w nazwach u\u017cytkownik\u00f3w wprowadzanych w wierszu polece\u0144, poniewa\u017c mog\u0142o to umo\u017cliwi\u0107 wykonanie kodu poprzez podstawianie nazw do dyrektyw ProxyCommand i Match exec, kt\u00f3re s\u0105 okre\u015blone w ustawieniach.\n
W ssh-keygen naprawiono niew\u0142a\u015bciwe przetwarzanie czasu letniego, kt\u00f3re prowadzi\u0142o do przesuni\u0119cia terminu wa\u017cno\u015bci certyfikat\u00f3w o 1 godzin\u0119.\n
W celu zablokowania tworzenia bomb ZIP w sshd i ssh dodano sprawdzenie przekroczenia maksymalnego rozmiaru pakietu podczas dekompresji danych.\n
W sshd rozwi\u0105zano problem, kt\u00f3ry pozwala\u0142 obej\u015b\u0107 ograniczenia s\u0142owa kluczowego \u00abrestrict\u00bb w pliku authorized_keys, kt\u00f3re nie by\u0142o stosowane do tuneli (PermitTunnel).\n
W sshd usuni\u0119to nieprawid\u0142owe parsowanie opcji \u00abnone\u00bb wewn\u0105trz blok\u00f3w Match, kt\u00f3ra w niekt\u00f3rych dyrektywach, takich jak AuthorizedPrincipalsFile, by\u0142a interpretowana jako nazwa pliku, a nie jako wska\u017anik wy\u0142\u0105czenia dyrektywy.\n
W sshd usuni\u0119to brak resetowania uprawnie\u0144 root na platformach, kt\u00f3re nie wspieraj\u0105 przesy\u0142ania deskryptor\u00f3w plik\u00f3w i wymagaj\u0105 praw root do przydzielania PTY. Problem objawia si\u0119 w QNX 6, SCO OpenServer 5 oraz przy kompilacji z opcj\u0105 \u00ab--disable-fd-passing\u00bb. <\/ul>\n
Zmiany niezwi\u0105zane z podatno\u015bciami: <\/p>\n
\n
W\u0142\u0105czono wsparcie dla hybrydowego algorytmu kryptograficznego ssh-mldsa44-ed25519, odpornego na ataki z u\u017cyciem komputer\u00f3w kwantowych.\n
W sshd_config zrealizowano i w\u0142\u0105czono domy\u015blnie opcj\u0119 WarnWeakCrypto do zarz\u0105dzania ostrze\u017ceniami o nawi\u0105zywaniu po\u0142\u0105czenia z u\u017cyciem algorytm\u00f3w negocjacji kluczy, kt\u00f3re s\u0105 podatne na ataki z u\u017cyciem komputer\u00f3w kwantowych.\n
W ssh-keygen i ssh-add wprowadzono weryfikacj\u0119 polityki credProtect w danych uwierzytelniaj\u0105cych, aby spe\u0142nia\u0107 wymagania weryfikacji (PIN lub biometryka) przed dost\u0119pem do kluczy sta\u0142ych na tokenach FIDO.\n
W ssh-add dodano flag\u0119 \u00ab-P\u00bb umo\u017cliwiaj\u0105c\u0105 pomini\u0119cie opcjonalnego wprowadzenia PIN-u dla token\u00f3w FIDO i PKCS#11.\n
W ssh w poleceniu ~I wprowadzono wy\u015bwietlanie informacji o wersjach na lokalnych i zdalnych systemach.\n
W sftp w poleceniach mkdir\/lmkdir dodano flag\u0119 '-p' do tworzenia katalog\u00f3w w razie potrzeby.\n
W ssh-keygen dodano tryb \u00abhexdump\u00bb do eksportu kluczy w postaci szesnastkowych zrzut\u00f3w (na przyk\u0142ad, do wklejenia w dokumentacji).\n
W ssh i sshd w dyrektywie ChannelTimeout umo\u017cliwiono okre\u015blenie timeout\u00f3w z dok\u0142adno\u015bci\u0105 do cz\u0119\u015bci sekundy.\n
W sshd dodano opcj\u0119 AgentSocketPath do okre\u015blenia \u015bcie\u017cki do $SSH_AUTH_SOCK podczas tunelowania agenta (na przyk\u0142ad user:.ssh\/agent dla podkatalog\u00f3w w $HOME oraz shared:\/tmp dla katalog\u00f3w wsp\u00f3\u0142dzielonych).\n
W ssh-agent dodano flag\u0119 \u00ab-A\u00bb do wskazania katalog\u00f3w z gniazdami agenta, w kt\u00f3rych dozwolone jest u\u017cycie prefiks\u00f3w \u00abuser:\u00bb i \u00abshared:\u00bb, jak w opcji AgentSocketPath.\n
W sshd kontrola kluczy publicznych zosta\u0142a oddzielona od pr\u00f3b autoryzacji. Dodano opcj\u0119 \u00abPubkeyOptions max-pk-ok:nnnn\u00bb do konfigurowania liczby pr\u00f3b weryfikacji kluczy publicznych (domy\u015blnie 6), po kt\u00f3rych po\u0142\u0105czenie zostanie zerwane z powodu limitu MaxAuthTries.\n
W ssh i sshd w opcji TCPKeepAlive dodano wsparcie dla warto\u015bci \u00aball\u00bb, kt\u00f3ra obejmuje wysy\u0142anie pakiet\u00f3w keepalive nie tylko dla g\u0142\u00f3wnego po\u0142\u0105czenia, ale r\u00f3wnie\u017c dla po\u0142\u0105cze\u0144 przekierowanych przez nie. <\/ul>\n