Bol zverejnený release OpenSSH 10.1, otvorenej implementácie klienta a servera pre prácu s protokolmi SSH 2.0 a SFTP.
Hlavné zmeny:
- Bol odstránený problém so zabezpečením, ktorý umožňoval útočníkovi vložiť shell-príkazy prostredníctvom manipulácie so špeciálnymi znakmi v používateľskom mene alebo URI, ktoré mohli byť vykonané pri spustení príkazu uvedeného cez nastavenie „ProxyCommand“ a obsahujúceho substitúciu „%u“. Problém sa týka iba systémov, ktoré umožňujú pri spustení ssh substitúciu používateľských mien alebo URI získaných z nedôveryhodných zdrojov.
Na blokovanie takýchto útokov je zakázané používanie ovládacích znakov v používateľských menách, ktoré sa zadávajú pri spustení z príkazového riadku alebo sa substituujú v nastaveniach cez %-sekvencie. Taktiež je zakázané používanie nulového znaku („\0“) v URI ssh://. Výnimka platí iba pre mená zadané v konfiguračnom súbore (predpokladá sa, že tieto konfiguračné údaje sú dôveryhodné).
- Do utilít ssh a ssh-agent bola pridaná podpora pre kľúče ed25519 uložené v tókenoch PKCS#11.
- Do konfiguračného súboru ssh_config bola pridaná možnosť RefuseConnection, pri spracovaní ktorej sa v aktívnej sekcii ukončí proces s výstupom správy o chybe bez pokusu o nadviazanie pripojenia. Match host foo RefuseConnection "host foo už nie je používaný, pripojte sa k hostu bar"
- Do ssh a sshd boli pridané spracovatelia signálu SIGINFO pre výstup do logu informácií o relácii a aktívnom kanáli.
- V sshd, v prípade odmietnutia autentifikácie používateľa pomocou certifikátu, je zabezpečený výstup do logu nielen dôvodu blokovania prístupu, ale aj vyčerpávajúce informácie pre identifikáciu problematického certifikátu.
- V sshd bola pridaná kontrola čísla displeja X11 vzhľadom na posun uvedený v direktíve X11DisplayOffset.
- Do súboru unit testov boli pridané schopnosti merania výkonu, aktivované pri spustení „make UNITTEST_BENCHMARK=yes“ v OpenBSD alebo „make unit-bench“ v iných systémoch.
Zmeny, ktoré potenciálne narušujú spätnú kompatibilitu:
- Do ssh bol pridaný výstup varovania pri použití algoritmu dohodovania kľúčov, ktorý nie je odolný voči prelomeniu kvantovým počítačom, počas nadväzovania spojenia. Varovanie bolo pridané kvôli riziku uskutočnenia útokov v budúcnosti, využívajúc predtým uložené výpisy prevádzky. Na vypnutie varovania bola do ssh_config pridaná možnosť WarnWeakCrypto. Match host unsafe.example.com WarnWeakCrypto no
- V ssh a sshd bola významne zmenená správa parametrov kvality služby DSCP (IPQoS). Pre interaktívnu prevádzku je teraz predvolene nastavená trieda EF (Expedited Forwarding) pre priorizovanejšie spracovanie v bezdrôtových sieťach. Pre neinteraktívnu prevádzku je nastavená trieda predvolená v operačnom systéme. Triedu prevádzky je možné zmeniť pomocou nastavenia IPQoS v ssh_config a sshd_config. Parametre ToS (type-of-service) pre IPv4 v direktíve IPQoS boli označené za zastarané (na zmenu ToS prišiel DSCP).
- V ssh-add pri pridávaní certifikátu do ssh-agent bol implementovaný čas života certifikátu, ktorý je o 5 minút dlhší, ako je platnosť certifikátu (pre automatické odstránenie vypršaného certifikátu). Na vypnutie tohto správania bola do ssh-add pridaná možnosť „-N”.
- Podpora kľúčov XMSS, ktorá bola označená ako experimentálna a nikdy nebola predvolene zapnutá, bola odstránená.
- Unixové sokety, vytvárané procesmi ssh-agent a sshd, boli presunuté z adresára /tmp do ~/ .ssh / agent, čo zaručuje, že nebude možné pristupovať cez tieto sokety z izolovaných procesov, pre ktoré je obmedzený prístup k súborovému systému, ale prístup k /tmp je otvorený.
V budúcich vydaniach budú DNS záznamy SHA1 SSHFP označené za zastarané kvôli problémom s spoľahlivosťou hash funkcie SHA1. Tieto záznamy budú ignorované, a príkaz „ssh-keygen -r” bude generovať iba záznamy SHA256 SSHFP.
Zdroj: opennet.ru
