Uvoľnenie OpenSSH 10.3

Po polroku vývoja bol zverejnený vydanie OpenSSH 10.3, otvorenej implementácie klienta a servera pre prácu s protokolmi SSH 2.0 a SFTP. Hlavné zmeny:

• Bola odstránená zraniteľnosť, ktorá umožňovala útočníkovi, kontrolujúcemu používateľské meno prenášané pri spustení utilitky ssh, potenciálne dosiahnuť vykonanie ľubovoľných shellových príkazov. Zraniteľnosť sa prejavuje v systémoch, ktoré používajú substitúciu „%u“ v niektorých direktívach konfiguračného súboru, ako napríklad „Match exec“. Problém je spôsobený kontrolou špeciálnych znakov v používateľskom mene v štádiu, po vykonaní %-substitúcií v konfiguračnom súbore ssh_config.
• Bola odstránená bezpečnostná problém v sshd, spôsobený nesprávnym porovnaním voľby authorized_keys principals=»» so zoznamom mien (principal) v certifikáte v situácii, keď v menách bol použitý znak „,“ . Na zneužitie zraniteľnosti je potrebné, aby vo voľbe authorized_keys principals=»» boli uvedené viaceré mená a aby certifikačná autorita vydala certifikát s viacerými menami oddelenými čiarkou (zvyčajne sa to neumožňuje). Zmenené správanie týkajúce sa certifikátov s prázdnym menom — predtým prázdne meno spadalo pod všetky voľby authorized_keys principals=», a teraz nespadá.
• V scp bola odstránená chyba, kvôli ktorej po nahratí súboru s právami root pri zadaní možnosti „-O“ a bez možnosti „-p“ neboli vymazané vlajky setuid/setgid.
• V sshd bola opravená chyba spracovania kľúčov ECDSA v direktívach PubkeyAcceptedAlgorithms a HostbasedAcceptedAlgorithms, kvôli ktorej v prípade zadaní akéhokoľvek algoritmu ECDSA (napr. „ecdsa-sha2-nistp384“) začali byť prijímané aj všetky ostatné algoritmy založené na ECDSA, aj keď neboli výslovne uvedené v zozname povolených.
• V ssh a sshd pri interakcii s SSH agentmi bola pridaná podpora identifikátorov (codepoint), definovaných IANA v špecifikácii draft-ietf-sshm-ssh-agent. Podpora predtým používaných identifikátorov typu „@openssh.com“ bola zachovaná.
• V ssh-agent bola implementovaná rozšírenie „query“, definované v špecifikácii draft-ietf-sshm-ssh-agent a umožňujúce určiť podporované funkcie agentom. Pre dotaz zoznamu podporovaných rozšírení protokolu cez požiadavku „query“ bola do utilitky ssh-add pridaná možnosť „-Q“.
• V sshd_config bola povolená možnosť zadať viaceré súbory v direktíve RevokedKeys, a v ssh_config — v direktíve RevokedHostKeys.
• V ssh bola pridaná escape príkaz „~I“ a možnosť „-O conninfo“ na zobrazenie informácií o aktuálnom pripojení, ako aj možnosť „-O channels“ na zobrazenie informácií o otvorených kanáloch.
• V sshd bola v direktíve PerSourcePenalties implementovaná možnosť ‘invaliduser’ na pridanie oneskorenia v prípade pokusu o prihlásenie s neexistujúcim používateľom (predvolená hodnota je 5 sekúnd). Pridaná je možnosť uviesť necelé hodnoty oneskorenia.
• V sshd bola pridaná možnosť GSSAPIDelegateCredentials na správu prijímania delegovaných poverení poskytnutých klientom.
• V ssh-keygen bola pridaná podpora zápisu kľúčov ED25519 vo formáte PKCS8.
• Pridaná podpora schémy digitálnych podpisov ed25519, realizovaná prostredníctvom libcrypto.

Zdroj: opennet.ru