A fost publicat\u0103 versiunea OpenSSH 10.1, o implementare deschis\u0103 a clientului \u0219i serverului pentru a lucra pe protocoalele SSH 2.0 \u0219i SFTP. <\/p>\n
Modific\u0103ri principale: <\/p>\n
\n
A fost rezolvat\u0103 o problem\u0103 de securitate care permite unui atacator s\u0103 injecteze comenzi shell prin manipularea caracterelor speciale din numele de utilizator sau URI, care ar putea fi executate la rularea comenzii specificate prin setarea «ProxyCommand» \u0219i care con\u021bine substitu\u021bia «%u». Problema afecteaz\u0103 doar sistemele care permit, la lansarea ssh, substituirea numelui utilizatorilor sau URI-urilor ob\u021binute din surse nesigure.\n
Pentru blocarea acestor atacuri, utilizarea caracterelor de control \u00een numele utilizatorilor specificate la lansarea \u00een linia de comand\u0103 sau substituite \u00een set\u0103ri prin secven\u021be %- este interzis\u0103. De asemenea, utilizarea caracterului nul («\0») \u00een URI ssh:\/\/ este interzis\u0103. O excep\u021bie s-a f\u0103cut doar pentru numele definite \u00een fi\u0219ierul de configurare (se sub\u00een\u021belege c\u0103 aceste date \u00een fi\u0219ierul de configurare sunt de \u00eencredere). <\/p>\n
Utilitarele ssh \u0219i ssh-agent au ad\u0103ugat suport pentru cheile ed25519, stocate \u00een tokenuri PKCS#11.\n
A fost ad\u0103ugat\u0103 \u00een fi\u0219ierul de configurare ssh_config op\u021biunea RefuseConnection, prin procesarea c\u0103reia sec\u021biunea activ\u0103 va termina procesul cu un mesaj de eroare f\u0103r\u0103 a \u00eencerca s\u0103 stabileasc\u0103 o conexiune. Match host foo RefuseConnection «host foo nu mai este utilizat, conecta\u021bi-v\u0103 la hostul bar»\n
\u00cen ssh \u0219i sshd au fost ad\u0103uga\u021bi gestionari de semnal SIGINFO pentru a \u00eenregistra \u00een jurnal informa\u021bii despre sesiune \u0219i canalul activ.\n
\u00cen sshd, \u00een cazul \u00een care autentificarea utilizatorului prin certificat este refuzat\u0103, se asigur\u0103 \u00eenregistrarea \u00een jurnal nu doar a motivului bloc\u0103rii accesului, ci \u0219i a informa\u021biilor detaliate pentru identificarea certificatului problematic.\n
\u00cen sshd a fost ad\u0103ugat\u0103 verificarea num\u0103rului de ecran X11, \u00een raport cu offset-ul specificat \u00een directiva X11DisplayOffset.\n
\u00cen setul de teste unitare au fost ad\u0103ugate func\u021bionalit\u0103\u021bi de m\u0103surare a performan\u021bei, activate la rularea «make UNITTEST_BENCHMARK=yes» \u00een OpenBSD sau «make unit-bench» \u00een celelalte sisteme. <\/ul>\n
Modific\u0103ri care pot afecta involuntar compatibilitatea inverse: <\/p>\n
\n
\u00cen ssh a fost ad\u0103ugat\u0103 o notificare atunci c\u00e2nd se folose\u0219te un algoritm de negociere a cheilor, care nu este sigur \u00eempotriva atacurilor cu computere cuantice. Aceast\u0103 notificare a fost ad\u0103ugat\u0103 din cauza riscului de atacuri viitoare utiliz\u00e2nd dump-uri de trafic salvate anterior. Pentru a dezactiva notificarea, \u00een ssh_config a fost ad\u0103ugat\u0103 op\u021biunea WarnWeakCrypto. \n Match host unsafe.example.com \n WarnWeakCrypto no\n
\u00cen ssh \u0219i sshd, gestionarea parametrilor de calitate a serviciilor DSCP (IPQoS) a fost semnificativ modificat\u0103. Pentru traficul interactiv, acum se seteaz\u0103 implicit clasa EF (Expedited Forwarding) pentru o gestionare prioritar\u0103 \u00een re\u021belele wireless. Pentru traficul non-interactiv, se seteaz\u0103 clasa utilizat\u0103 implicit \u00een sistemul de operare. Clasa traficului poate fi modificat\u0103 prin configurarea IPQoS \u00een ssh_config \u0219i sshd_config. Parametrii ToS (tipul de serviciu) pentru IPv4 \u00een directiva IPQoS au fost declara\u021bi \u00eenvechi\u021bi (DSCP a \u00eenlocuit ToS).\n
\u00cen ssh-add, la ad\u0103ugarea unui certificat \u00een ssh-agent, s-a implementat stabilirea timpului de via\u021b\u0103 al certificatului la o valoare cu 5 minute mai mare dec\u00e2t valabilitatea certificatului (pentru a elimina automat certificatul expirat). O op\u021biune «-N» a fost ad\u0103ugat\u0103 \u00een ssh-add pentru a dezactiva acest comportament.\n
Suportul pentru cheile XMSS, care a fost marcat ca experimental \u0219i niciodat\u0103 nu a fost activat implicit, a fost eliminat.\n
Socket-urile Unix create de procesele ssh-agent \u0219i sshd au fost mutate din directorul \/tmp \u00een ~\/ .ssh \/agent, asigur\u00e2ndu-se c\u0103 nu este posibil accesul prin aceste socket-uri din procese izolate, pentru care accesul la sistemul de fi\u0219iere este restric\u021bionat, dar accesul la \/tmp este deschis. <\/ul>\n