Bolo zverejnené vydanie OpenSSH 9.6, otvorená implementácia klienta a servera pre prácu s protokolmi SSH 2.0 a SFTP. Nová verzia opravuje tri bezpečnostné problémy:
- Zraniteľnosť v protokole SSH (CVE-2023-48795, útok „Terrapin“), ktorá umožňuje útoku MITM vrátiť pripojenie späť na používanie menej bezpečných autentifikačných algoritmov a deaktivovať ochranu proti útokom z bočných kanálov, ktoré obnovujú vstup pomocou analýzy oneskorení. medzi stlačeniami klávesov na klávesnici. Spôsob útoku je popísaný v samostatnom spravodajskom článku.
- Zraniteľnosť v obslužnom programe ssh, ktorá umožňuje nahradenie ľubovoľných príkazov shellu manipuláciou s prihlasovacími a hostiteľskými hodnotami obsahujúcimi špeciálne znaky. Zraniteľnosť možno zneužiť, ak útočník kontroluje hodnoty prihlasovacieho mena a názvu hostiteľa odovzdané príkazom ssh, ProxyCommand a LocalCommand alebo blokom „match exec“, ktoré obsahujú zástupné znaky, ako napríklad %u a %h. Napríklad nesprávne prihlásenie a hostiteľ môžu byť nahradené v systémoch, ktoré používajú submoduly v systéme Git, pretože Git nezakazuje špecifikovať špeciálne znaky v menách hostiteľa a používateľov. Podobná zraniteľnosť sa objavuje aj v libssh.
- Vyskytla sa chyba v ssh-agent, kde pri pridávaní súkromných kľúčov PKCS#11 boli obmedzenia aplikované iba na prvý kľúč vrátený tokenom PKCS#11. Problém neovplyvňuje bežné súkromné kľúče, tokeny FIDO ani neobmedzené kľúče.
Ďalšie zmeny:
- Do ssh bola pridaná náhrada „%j“, ktorá sa rozšírila do názvu hostiteľa zadaného prostredníctvom direktívy ProxyJump.
- ssh pridal podporu pre nastavenie ChannelTimeout na strane klienta, ktorý možno použiť na ukončenie neaktívnych kanálov.
- Pridaná podpora pre čítanie súkromných kľúčov ED25519 vo formáte PEM PKCS8 na ssh, sshd, ssh-add a ssh-keygen (predtým bol podporovaný iba formát OpenSSH).
- Do ssh a sshd bolo pridané rozšírenie protokolu na opätovné vyjednanie algoritmov digitálneho podpisu na overenie verejného kľúča po prijatí používateľského mena. Napríklad pomocou rozšírenia môžete selektívne použiť iné algoritmy vo vzťahu k používateľom zadaním PubkeyAcceptedAlgorithms v bloku „Match user“.
- Pridané rozšírenie protokolu pre ssh-add a ssh-agent na nastavenie certifikátov pri načítavaní kľúčov PKCS#11, čo umožňuje použitie certifikátov spojených so súkromnými kľúčmi PKCS#11 vo všetkých pomôckach OpenSSH, ktoré podporujú agenta ssh, nielen ssh.
- Vylepšená detekcia nepodporovaných alebo nestabilných príznakov kompilátora, ako napríklad "-fzero-call-used-regs" v clang.
- Na obmedzenie privilégií procesu sshd používajú verzie OpenSolaris, ktoré podporujú rozhranie getpflags(), namiesto PRIV_LIMIT režim PRIV_XPOLICY.
Zdroj: opennet.ru