{"id":144216,"date":"2025-10-06T17:11:54","date_gmt":"2025-10-06T15:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-10-1"},"modified":"2025-10-06T17:11:54","modified_gmt":"2025-10-06T15:11:54","slug":"reliz-openssh-10-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/reliz-openssh-10-1","title":{"rendered":"Lan\u00e7amento do OpenSSH 10.1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Foi publicado o lan\u00e7amento do OpenSSH 10.1, uma implementa\u00e7\u00e3o aberta de cliente e servidor para operar com os protocolos SSH 2.0 e SFTP. <\/p>\n
Principais mudan\u00e7as: <\/p>\n
\n
Foi corrigido um problema de seguran\u00e7a que permitia que um invasor injetasse comandos shell atrav\u00e9s da manipula\u00e7\u00e3o de caracteres especiais no nome de usu\u00e1rio ou URI, que poderiam ser executados ao rodar um comando especificado na configura\u00e7\u00e3o «ProxyCommand» e contendo a substitui\u00e7\u00e3o «%u». O problema afeta apenas sistemas que permitem a substitui\u00e7\u00e3o de nomes de usu\u00e1rios ou URIs oriundos de fontes n\u00e3o confi\u00e1veis durante a execu\u00e7\u00e3o do ssh.\n
Para bloquear ataques desse tipo, o uso de caracteres de controle em nomes de usu\u00e1rio passados na linha de comando ou substitu\u00eddos nas configura\u00e7\u00f5es atrav\u00e9s de sequ\u00eancias %-foi proibido. Tamb\u00e9m \u00e9 proibido o uso do caractere nulo («\0») em ssh:\/\/. Uma exce\u00e7\u00e3o foi feita apenas para nomes especificados no arquivo de configura\u00e7\u00e3o (pressup\u00f5e-se que os dados desse arquivo sejam confi\u00e1veis). <\/p>\n
As utilidades ssh e ssh-agent agora suportam chaves ed25519 armazenadas em tokens PKCS#11.\n
Foi adicionada a configura\u00e7\u00e3o RefuseConnection ao arquivo de configura\u00e7\u00e3o ssh_config, que, quando processada na se\u00e7\u00e3o ativa, encerra o processo com uma mensagem de erro sem tentar estabelecer uma conex\u00e3o. Match host foo RefuseConnection «o host foo n\u00e3o est\u00e1 mais em uso, conecte-se ao host bar»\n
No ssh e sshd foram adicionados manipuladores de sinal SIGINFO para registrar informa\u00e7\u00f5es sobre a sess\u00e3o e o canal ativo.\n
No sshd, se a autentica\u00e7\u00e3o do usu\u00e1rio for rejeitada pelo certificado, ser\u00e1 registrado no log n\u00e3o apenas a raz\u00e3o da rejei\u00e7\u00e3o do login, mas tamb\u00e9m informa\u00e7\u00f5es detalhadas para identificar o certificado problem\u00e1tico.\n
No sshd, foi adicionada a verifica\u00e7\u00e3o do n\u00famero de exibi\u00e7\u00e3o X11, em rela\u00e7\u00e3o \u00e0 deslocamento definido na diretiva X11DisplayOffset.\n
Na su\u00edte de testes unit\u00e1rios, foram adicionadas funcionalidades de medi\u00e7\u00e3o de desempenho, ativadas ao executar «make UNITTEST_BENCHMARK=yes» no OpenBSD ou «make unit-bench» em outros sistemas. <\/ul>\n
Mudan\u00e7as que podem quebrar a compatibilidade retroativa: <\/p>\n
\n
No ssh foi adicionada uma mensagem de aviso ao usar o algoritmo de negocia\u00e7\u00e3o de chaves vulner\u00e1vel a ataques de computadores qu\u00e2nticos ao estabelecer a conex\u00e3o. O aviso foi adicionado devido ao risco de ataques no futuro, usando dumps de tr\u00e1fego armazenados anteriormente. Para desativar o aviso, a op\u00e7\u00e3o WarnWeakCrypto foi adicionada ao ssh_config. Match host unsafe.example.com WarnWeakCrypto no\n
No ssh e sshd, o manuseio dos par\u00e2metros de qualidade de servi\u00e7o DSCP (IPQoS) foi significativamente alterado. Para tr\u00e1fego interativo, agora \u00e9 utilizado por padr\u00e3o a classe EF (Expedited Forwarding) para um processamento mais priorit\u00e1rio em redes sem fio. Para tr\u00e1fego n\u00e3o interativo, a classe padr\u00e3o utilizada no sistema operacional \u00e9 definida. A classe de tr\u00e1fego pode ser alterada atrav\u00e9s das configura\u00e7\u00f5es IPQoS em ssh_config e sshd_config. Os par\u00e2metros ToS (type-of-service) para IPv4 na diretiva IPQoS foram considerados obsoletos (DSCP substituiu o ToS).\n
No ssh-add, ao adicionar um certificado ao ssh-agent, foi implementada a defini\u00e7\u00e3o do tempo de vida do certificado para um valor que \u00e9 5 minutos maior do que a validade do certificado (para remo\u00e7\u00e3o autom\u00e1tica do certificado expirado). Para desativar esse comportamento, foi adicionada a op\u00e7\u00e3o «-N» ao ssh-add.\n
O suporte a chaves XMSS foi removido, pois foi considerado experimental e nunca foi habilitado por padr\u00e3o.\n
Os sockets Unix criados pelos processos ssh-agent e sshd foram transferidos do diret\u00f3rio \/tmp para ~\/.ssh\/agent, o que garante que n\u00e3o seja poss\u00edvel acessar esses sockets a partir de processos isolados, os quais t\u00eam o acesso ao sistema de arquivos restrito, mas t\u00eam acesso ao \/tmp. <\/ul>\n