Objavljeno je izdanje OpenSSH 10.6, otvorene implementacije klijenta i servera za rad putem SSH 2.0 i SFTP protokola. Ispravljeni su sigurnosni problemi, od kojih su većina otkriveni analizom koda korišćenjem AI alata (CVE identifikatori nisu dodeljeni):
- Ranjivost u sftp koja omogućava upis fajla izvan ciljne direktorije kada se obraća serveru pod kontrolom napadača.
- Dve ranjivosti u implementaciji GSSAPI u sshd, izazvane čuvanjem stanja između različitih pokušaja autentifikacije. GSSAPI akreditivi su mogli ostati sačuvani nakon neuspšesnog pokušaja autentifikacije i koristiti se nakon kasnijeg uspešnog pokušaja autentifikacije. Problemi se javljaju kada je omogućena GSSAPIAuthentication opcija.
- Podrška za LZ77 kompresiju je onemogućena u sshd i ssh zbog mogućnosti napada putem sporednog kanala, koja omogućava vraćanje sadržaja iz druge sesije kada se povezuje putem nastavljenog povezivanja deljenog sa žrtvom, koristeći činjenicu da podaci pod kontrolom napadača utiču na ukupnu dužinu prenesenih šifrovanih poruka (LZ77 zamenjuje ponavljajuće redove referencama u zajedničkom baferu za sve kanale).
- U ssh alatu onemogućeno je korišćenje karaktera ‘$’ i ‘\’ u korisničkim imenima koja su unesena u komandnu liniju, jer se s njima moglo omogućiti izvršenje koda pri substituciji imena u ProxyCommand i Match exec direktivama navedenim u podešavanjima.
- U ssh-keygen ispravljena je nepravilna obrada letnjeg vremena, koja je dovodila do pomeranja roka važenja sertifikata za 1 sat.
- Sa ciljem blokiranja kreiranja zip-bombi, u sshd i ssh dodata je provera prekoračenja maksimalne veličine paketa prilikom raspakivanja podataka.
- U sshd rešen je problem koji je omogućavao zaobilaženje ograničenja ključa ‘restrict’ u authorized_keys datoteci, koje nije bilo primenjeno na tunele (PermitTunnel).
- U sshd ispravljen je nepravilni parsiranje opcije ‘none’ unutar Match blokova, koja je u nekim direktivama, poput AuthorizedPrincipalsFile, tumačena kao ime datoteke, a ne kao oznaka za onemogućavanje direktive.
- V sshd je odpravljena težava s ponovnim dodeljevanjem root privilegijev na platformah, ki ne podpirajo prenosa datotečnih descriptorjev in zahtevajo pravice root za dodelitev PTY. Težava se pojavi v QNX 6, SCO OpenServer 5 in pri gradnji s možnostjo "--disable-fd-passing".
Spremembe, ki niso povezane z ranljivostmi:
- Dodana je podpora za hibridni kriptoalgoritem ssh-mldsa44-ed25519, odporen na napade kvantnih računalnikov.
- V sshd_config je bila implementirana in po privzetku omogočena možnost WarnWeakCrypto za upravljanje izhodnih opozoril pri vzpostavitvi povezave z algoritmi za usklajevanje ključev, ki niso odporni na napade kvantnih računalnikov.
- V ssh-keygen in ssh-add je bila uvedena politika credProtect za izpolnjevanje zahtev verifikacije (PIN ali biometrija) pred dostopom do rezidentnih ključev na FIDO žetonih.
- V ssh-add je bila dodana zastavica "-P" za preskočitev neobveznega vnosa PIN kode za FIDO žetone in PKCS#11.
- V ssh v ukazu ~I je bila implementirana možnost izpisa informacij o različicah na lokalnih in oddaljenih sistemih.
- V sftp v ukaze mkdir/lmkdir je bila dodana zastavica ‘-p’ za ustvarjanje map po potrebi.
- V ssh-keygen je bil dodan način "hexdump" za izvoz ključev v obliki šestnajstiških dumpov (na primer za vstavljanje v dokumentacijo).
- V ssh in sshd je v direktivi ChannelTimeout dovoljeno določanje časovnih omejitev z natančnostjo do delov sekunde.
- V sshd je bila dodana možnost AgentSocketPath za določanje poti do $SSH_AUTH_SOCK pri posredovanju agenta (na primer user:.ssh/agent za poddirektorije v $HOME in shared:/tmp za skupne mape).
- V ssh-agent je bila dodana zastavica "-A" za določanje map s soketi agenta, v katerih je dovoljeno določiti prefikse "user:" in "shared:" kot v možnostih AgentSocketPath.
- V sshd je bila preveritev odprtih ključev ločena od poskusov avtentikacije. Dodana je možnost "PubkeyOptions max-pk-ok:nnnn" za konfiguracijo števila poskusov preverjanja odprtih ključev (privzeto 6), po katerih bo povezava prekinjena zaradi omejitve MaxAuthTries.
- V ssh in sshd je možnosti TCPKeepAlive dodana podpora za vrednost "all", ki vključuje pošiljanje keepalive paketov ne samo za glavno povezavo, temveč tudi za povezave, ki so posredovane preko nje.
Izvor: opennet.ru
