{"id":183658,"date":"2026-10-06T22:53:58","date_gmt":"2026-10-06T20:53:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-openssh-10-6-s-ustraneniem-uyazvimostej"},"modified":"2026-10-06T22:54:02","modified_gmt":"2026-10-06T20:54:02","slug":"openssh-10-6-released-with-vulnerability-fixes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/openssh-10-6-released-with-vulnerability-fixes","title":{"rendered":"Lan\u00e7amento do OpenSSH 10.6 com corre\u00e7\u00e3o de vulnerabilidades","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Foi lan\u00e7ado o OpenSSH 10.6, uma implementa\u00e7\u00e3o aberta de cliente e servidor para trabalhar com os protocolos SSH 2.0 e SFTP. Foram corrigidos problemas de seguran\u00e7a, a maioria deles identificados por meio de an\u00e1lise de c\u00f3digo utilizando ferramentas de IA (identificadores CVE n\u00e3o designados): <\/p>\n
\n
Uma vulnerabilidade no sftp, permitindo a grava\u00e7\u00e3o de arquivos fora do diret\u00f3rio de destino ao acessar um servidor controlado por atacantes.\n
Duas vulnerabilidades na implementa\u00e7\u00e3o do GSSAPI no sshd, causadas pela manuten\u00e7\u00e3o de estado entre diferentes tentativas de autentica\u00e7\u00e3o. Credenciais GSSAPI poderiam ser mantidas ap\u00f3s uma tentativa de autentica\u00e7\u00e3o malsucedida e reutilizadas ap\u00f3s uma tentativa subsequente bem-sucedida. Os problemas aparecem quando a configura\u00e7\u00e3o GSSAPIAuthentication est\u00e1 ativada.\n
Nos servi\u00e7os sshd e ssh, o suporte \u00e0 compress\u00e3o LZ77 foi desativado devido \u00e0 possibilidade de ataques por canais laterais, permitindo a recupera\u00e7\u00e3o do conte\u00fado de outra sess\u00e3o ao se conectar via uma conex\u00e3o multiplexada compartilhada com a v\u00edtima, aproveitando-se do fato de que dados controlados por atacantes afetam o comprimento total das mensagens criptografadas transmitidas (LZ77 substitui sequ\u00eancias repetidas por refer\u00eancias em um buffer comum para todos os canais).\n
Na utilidade ssh, a utiliza\u00e7\u00e3o dos caracteres ‘$’ e ‘\’ \u00e9 proibida em nomes de usu\u00e1rios inseridos na linha de comando, pois eles poderiam permitir a execu\u00e7\u00e3o de c\u00f3digo ao serem substitu\u00eddos em diretivas ProxyCommand e Match exec, conforme especificado nas configura\u00e7\u00f5es.\n
No ssh-keygen, foi corrigido o tratamento inadequado do hor\u00e1rio de ver\u00e3o, que causava um deslocamento na validade dos certificados em 1 hora.\n
Com o objetivo de bloquear a cria\u00e7\u00e3o de zip-bombs, o sshd e ssh adicionaram uma verifica\u00e7\u00e3o para exceder o tamanho m\u00e1ximo de pacotes ao descompactar dados.\n
No sshd, foi resolvido um problema que permitia contornar as restri\u00e7\u00f5es da palavra-chave «restrict» no arquivo authorized_keys, que n\u00e3o era aplicada a t\u00faneis (PermitTunnel).\n
No sshd, foi corrigida a an\u00e1lise incorreta da op\u00e7\u00e3o «none» dentro de blocos Match, que em algumas diretivas, como AuthorizedPrincipalsFile, era interpretada como um nome de arquivo, e n\u00e3o como um indicativo de desativa\u00e7\u00e3o da diretiva.\n
No sshd, foi corrigida a falta de rein\u00edcio dos privil\u00e9gios de root em plataformas que n\u00e3o suportam a passagem de descritores de arquivos e que exigem direitos de root para alocar PTY. O problema se manifesta em QNX 6, SCO OpenServer 5 e ao compilar com a op\u00e7\u00e3o «—disable-fd-passing». <\/ul>\n
Mudan\u00e7as n\u00e3o relacionadas a vulnerabilidades: <\/p>\n
\n
O suporte ao algoritmo h\u00edbrido de criptografia ssh-mldsa44-ed25519 foi ativado, resistente a ataques de computadores qu\u00e2nticos.\n
A op\u00e7\u00e3o WarnWeakCrypto foi implementada e ativada por padr\u00e3o no sshd_config para gerenciar a sa\u00edda de avisos ao estabelecer uma conex\u00e3o usando algoritmos de troca de chaves vulner\u00e1veis a ataques qu\u00e2nticos.\n
O ssh-keygen e o ssh-add implementaram a verifica\u00e7\u00e3o da pol\u00edtica credProtect nos dados de autentica\u00e7\u00e3o para atender aos requisitos de verifica\u00e7\u00e3o (PIN ou biometria) antes do acesso \u00e0s chaves residentes em tokens FIDO.\n
No ssh-add, foi adicionado o sinalizador «-P» para ignorar a entrada opcional do PIN para tokens FIDO e PKCS#11.\n
No ssh, o comando ~I implementou a sa\u00edda de informa\u00e7\u00f5es sobre vers\u00f5es em sistemas locais e remotos.\n
No sftp, o sinalizador ‘-p’ foi adicionado aos comandos mkdir\/lmkdir para criar diret\u00f3rios quando necess\u00e1rio.\n
No ssh-keygen, foi adicionado o modo «hexdump» para exportar chaves na forma de dumps hexadecimais (por exemplo, para inser\u00e7\u00e3o em documenta\u00e7\u00e3o).\n
No ssh e no sshd, a diretiva ChannelTimeout permite especificar timeouts com precis\u00e3o de fra\u00e7\u00f5es de segundo.\n
No sshd, a op\u00e7\u00e3o AgentSocketPath foi adicionada para especificar o caminho para $SSH_AUTH_SOCK ao redirecionar o agente (por exemplo, user:.ssh\/agent para subdiret\u00f3rios em $HOME e shared:\/tmp para diret\u00f3rios compartilhados).\n
No ssh-agent, foi adicionado o sinalizador «-A» para especificar diret\u00f3rios com sockets do agente, onde \u00e9 permitida a utiliza\u00e7\u00e3o dos prefixos «user:» e «shared:», como na op\u00e7\u00e3o AgentSocketPath.\n
No sshd, a verifica\u00e7\u00e3o de chaves p\u00fablicas foi separada das tentativas de autentica\u00e7\u00e3o. Foi adicionada a op\u00e7\u00e3o «PubkeyOptions max-pk-ok:nnnn» para configurar o n\u00famero de tentativas de verifica\u00e7\u00e3o de chaves p\u00fablicas (por padr\u00e3o, 6), ap\u00f3s o qual a conex\u00e3o ser\u00e1 encerrada por limite de MaxAuthTries.\n
No ssh e no sshd, a op\u00e7\u00e3o TCPKeepAlive recebeu suporte para o valor «all», ativando o envio de pacotes keepalive n\u00e3o s\u00f3 para a conex\u00e3o principal, mas tamb\u00e9m para conex\u00f5es que s\u00e3o redirecionadas por meio dela. <\/ul>\n