Po šiestich mesiacoch vývoja bola vydaná OpenSSH 10.3, open source implementácia klienta. server Na použitie s protokolmi SSH 2.0 a SFTP. Kľúčové zmeny:
- Bola opravená zraniteľnosť, ktorá mohla útočníkovi s kontrolou nad používateľským menom zadaným pri spustení utility ssh umožniť potenciálne vykonať ľubovoľné príkazy shellu. Táto zraniteľnosť sa vyskytuje v systémoch, ktoré používajú substitúciu „%u“ v určitých direktívach konfiguračného súboru, napríklad „Match exec“. Problém je spôsobený overovaním špeciálnych znakov v používateľskom mene po vykonaní %-substitúcií v konfiguračnom súbore ssh_config.
- Bol opravený bezpečnostný problém v sshd spôsobený nesprávnym zhodovaním možnosti authorized_keys principals="" so zoznamom mien (principálov) v certifikáte, keď mená obsahujú znak ",". Zneužitie tejto zraniteľnosti vyžaduje viacero mien zadaných vo možnosti authorized_keys principals="" a aby certifikačná autorita vydala certifikát s viacerými menami oddelenými čiarkami (toto zvyčajne nie je povolené). Správanie certifikátov s prázdnym názvom bolo zmenené: predtým bol prázdny názov pokrytý všetkými možnosťami authorized_keys principals="", teraz však nie je pokrytý.
- Opravený problém v scp, kde nahrávanie súboru ako root s voľbou -O a bez voľby -p nevymazalo príznaky setuid/setgid.
- V sshd bol opravený problém so spracovaním kľúčov ECDSA v direktívach PubkeyAcceptedAlgorithms a HostbasedAcceptedAlgorithms, kvôli ktorému, ak bol zadaný akýkoľvek algoritmus ECDSA (napríklad „ecdsa-sha2-nistp384“), boli akceptované aj všetky ostatné algoritmy založené na ECDSA, aj keď neboli explicitne uvedené ako prijateľné.
- Pri interakcii s agentmi SSH teraz ssh a sshd podporujú identifikátory (kódové body) definované IANA v špecifikácii draft-ietf-sshm-ssh-agent. Podpora pre predtým používané identifikátory, ako napríklad „@openssh.com“, zostáva zachovaná.
- ssh-agent implementuje rozšírenie „query“, definované v špecifikácii draft-ietf-sshm-ssh-agent, ktoré umožňuje určiť funkcie podporované agentom. Do utility ssh-add bola pridaná možnosť „-Q“ na dotazovanie zoznamu podporovaných rozšírení protokolu.
- V sshd_config je možné v direktíve RevokedKeys zadať viacero súborov a v ssh_config je možné v direktíve RevokedHostKeys zadať viacero súborov.
- SSH má teraz príkaz escape „~I“ a možnosť „-O conninfo“ na zobrazenie informácií o aktuálnom pripojení, ako aj možnosť „-O channels“ na zobrazenie informácií o otvorených kanáloch.
- V sshd teraz direktíva PerSourcePenalties obsahuje možnosť „invaliduser“ na pridanie oneskorenia (predvolene 5 sekúnd) pri pokuse o prihlásenie s neexistujúcim používateľom. Bola pridaná možnosť zadať hodnoty oneskorenia, ktoré nie sú celé čísla.
- Do sshd bola pridaná možnosť GSSAPIDelegateCredentials na riadenie akceptovania delegovaných poverení poskytnutých klientom.
- ssh-keygen teraz podporuje zápis kľúčov ED25519 vo formáte PKCS8.
- Pridaná podpora pre schému digitálneho podpisu ed25519, implementovanú prostredníctvom knižnice libcrypto.
Zdroj: opennet.ru
