{"id":107307,"date":"2023-03-16T12:48:10","date_gmt":"2023-03-16T10:48:10","guid":{"rendered":"https:\/\/prohoster.info\/?p=107307"},"modified":"2023-03-17T13:35:25","modified_gmt":"2023-03-17T11:35:25","slug":"obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/obnovlenie-openssh-9-3-s-ustraneniem-problem-s-bezopasnostyu","title":{"rendered":"Actualizarea OpenSSH 9.3 cu remedii pentru probleme de securitate","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A fost publicat release-ul OpenSSH 9.3, o implementare open-source a clientului \u0219i serverului pentru func\u021bionarea pe protocoalele SSH 2.0 \u0219i SFTP. Aceast\u0103 versiune adreseaz\u0103 problemele de securitate: <\/p>\n
\n
\u00cen utilitarul ssh-add a fost identificat\u0103 o eroare logic\u0103, din cauza c\u0103reia, atunci c\u00e2nd erau ad\u0103ugate chei pentru smartcard-uri \u00een ssh-agent, restric\u021biile specificate prin op\u021biunea \u00abssh-add -h\u00bb nu erau transmise agentului. Ca urmare, \u00een agent era ad\u0103ugat\u0103 o cheie pentru care nu se aplicau restric\u021biile ce permit conexiuni doar de la anumite gazde.\n
\u00cen utilitarul ssh a fost descoperit\u0103 o vulnerabilitate care poate duce la citirea datelor din zona stivei \u00een afara buffer-ului alocat, atunci c\u00e2nd se proceseaz\u0103 r\u0103spunsuri DNS special concepute, \u00een cazul \u00een care \u00een fi\u0219ierul de configurare este activat\u0103 setarea VerifyHostKeyDNS. Problema este prezent\u0103 \u00een implementarea \u00eencorporat\u0103 a func\u021biei getrrsetbyname(), care este utilizat\u0103 \u00een versiunile portabile OpenSSH, compilate f\u0103r\u0103 utilizarea bibliotecii externe ldns (\u2014with-ldns) \u0219i pe sistemele cu biblioteci standard care nu suport\u0103 apelul getrrsetbyname(). Posibilitatea exploat\u0103rii vulnerabilit\u0103\u021bii, \u00een afar\u0103 de ini\u021bierea unui atac de tip denial of service asupra clientului ssh, este considerat\u0103 pu\u021bin probabil\u0103. <\/ul>\n
De asemenea, se poate men\u021biona o vulnerabilitate \u00een biblioteca libskey, care face parte din OpenBSD \u0219i este folosit\u0103 \u00een OpenSSH. Problema este prezent\u0103 din 1997 \u0219i poate duce la o dep\u0103\u0219ire a buffer-ului \u00een stiv\u0103 atunci c\u00e2nd se proceseaz\u0103 nume de gazde special concepute. Se observ\u0103 c\u0103, de\u0219i exploatarea vulnerabilit\u0103\u021bii poate fi ini\u021biat\u0103 de la distan\u021b\u0103 prin OpenSSH, \u00een practic\u0103 vulnerabilitatea este inutil\u0103, deoarece pentru a se manifesta, numele gazdei atacate (\/etc\/hostname) ar trebui s\u0103 con\u021bin\u0103 mai mult de 126 de caractere, iar buffer-ul poate fi dep\u0103\u0219it doar cu caractere de cod nul (\u2018\u2019). <\/p>\n
Printre modific\u0103rile care nu sunt legate de securitate: <\/p>\n
\n
\u00cen ssh-keygen \u0219i ssh-keyscan a fost ad\u0103ugat\u0103 suport pentru parametrul \u00ab-Ohashalg=sha1|sha256\u00bb pentru a alege algoritmul de afi\u0219are a amprentelor SSHFP.\n
\u00cen sshd a fost ad\u0103ugat\u0103 op\u021biunea \u00ab-G\u00bb pentru a analiza \u0219i afi\u0219a configura\u021bia activ\u0103 f\u0103r\u0103 a \u00eencerca s\u0103 \u00eencarce cheile private \u0219i f\u0103r\u0103 a efectua verific\u0103ri suplimentare, ceea ce permite verificarea configura\u021biei \u00een etapa de dinainte de generarea cheilor \u0219i efectuarea verific\u0103rii de c\u0103tre utilizatorii neprivilegia\u021bi.\n
\u00cen sshd a fost \u00eent\u0103rit\u0103 izola\u021bia pe platforma Linux, folosind mecanismele de filtrare a apelurilor de sistem seccomp \u0219i seccomp-bpf. \u00cen lista apelurilor de sistem permise au fost ad\u0103ugate steaguri la mmap, madvise \u0219i futex. <\/ul>\n