Bol vydaný OpenSSH 9.3, otvorená implementácia klienta a servera pre prácu s protokolmi SSH 2.0 a SFTP. V novej verzii boli odstránené bezpečnostné problémy:
- V utilite ssh-add bola zistená logická chyba, kvôli ktorej sa pri pridávaní kľúčov pre smart karty do ssh-agentu nedodali obmedzenia určené pomocou voľby «ssh-add -h». Výsledkom bolo pridanie kľúča do agenta bez obmedzení, ktoré umožňujú pripojenia len z určitých hostiteľov.
- V utilite ssh bola zistená zraniteľnosť, ktorá môže viesť k čítaniu údajov z oblasti zásobníka mimo prideleného vyrovnávacieho pamäť pri spracovávaní špeciálne formátovaných DNS odpovedí, ak je v konfiguračnom súbore nastavená možnosť VerifyHostKeyDNS. Problém existuje vo vstavaní implementácii funkcie getrrsetbyname(), ktorá sa používa v prenosných verziách OpenSSH zostavovaných bez použitia externých knižníc ldns (—with-ldns) a na systémoch so štandardnými knižnicami, ktoré nepodporujú volanie getrrsetbyname(). Možnosť zneužitia zraniteľnosti, mimo iniciovania odmietnutia služby pre klienta ssh, je hodnotená ako nepravdepodobná.
Okrem toho je možné poznamenať zraniteľnosť v knižnici libskey, ktorá je súčasťou OpenBSD a používa sa v OpenSSH. Problém existuje od roku 1997 a môže viesť k pretečeniu vyrovnávacej pamäte v zásobníku pri spracovaní špeciálne formátovaných mien hostiteľov. Uvádza sa, že aj keď sa zraniteľnosť môže iniciovať na diaľku cez OpenSSH, v praxi je zraniteľnosť bezcenná, pretože na jej vyvolanie musí meno napadnutého hostiteľa (/etc/hostname) obsahovať viac ako 126 znakov a vyrovnávacia pamäť môže byť pretečená len znakovými nulovými kódmi (‘\0’).
Medzi nezávislými zmenami nesúvisiacimi so zabezpečením:
- Do ssh-keygen a ssh-keyscan bola pridaná podpora parametra «-Ohashalg=sha1|sha256» pre výber algoritmu pre zobrazenie odtlačkov SSHFP.
- Do sshd bola pridaná možnosť «-G» na analýzu a zobrazenie aktívnej konfigurácie bez pokusov o načítanie súkromných kľúčov a bez vykonávania ďalších kontrol, čo umožňuje kontrolovať konfiguráciu pred generovaním kľúčov a spustiť kontrolu neprivilegovanými užívateľmi.
- V sshd bola posilnená izolácia na platforme Linux, ktorá využíva mechanizmy filtrovania systémových volaní seccomp a seccomp-bpf. Do zoznamu povolených systémových volaní boli pridané flagy pre mmap, madvise a futex.
Zdroj: opennet.ru
