Objavljen je OpenSSH 10.1, otvorena implementacija klijenta i servera za rad sa SSH 2.0 i SFTP protokolima.
Glavne spremembe:
- Rešena je bezbednosna provala koja omogućava napadaču da podmetne shell komande putem manipulacije specijalnim karakterima u korisničkom imenu ili URI-ju, koje bi mogle biti izvršene prilikom pokretanja komande navedene u podešavanju 'ProxyCommand' i koja sadrži zamenu '%u'. Problem se tiče samo sistema koji dozvoljavaju zamenu korisničkih imena ili URI-ja dobijenih iz nepouzdanih izvora prilikom pokretanja ssh.
Kako bi se blokirali slični napadi, zabranjena je upotreba kontrolnih karaktera u korisničkim imenima navedenim prilikom pokretanja u komandnoj liniji ili zamenjenim u podešavanjima putem %-sekvenci. Takođe, zabranjena je upotreba nultog karaktera ('\0') u ssh:// URI-ju. Izuetak je napravljen samo za imena zadana u konfiguracionom fajlu (podrazumeva se da su ti konfiguracioni fajlovi pouzdani).
- U ssh i ssh-agent alatima dodata je podrška za ed25519 ključeve pohranjene u PKCS#11 tokenima.
- U ssh_config datoteku dodato je podešavanje RefuseConnection, pri čemu se aktivnoj sekciji prebacuje završavanje procesa sa porukom o grešci bez pokušaja uspostavljanja veze. Match host foo RefuseConnection 'host foo se više ne koristi, povežite se na host bar'
- U ssh i sshd dodani su obradnici signala SIGINFO za logovanje informacija o sesiji i aktivnom kanalu.
- U sshd, u slučaju odbijanja autentifikacije korisnika na osnovu sertifikata, obezbeđeno je logovanje ne samo uzroka blokiranja pristupa, već i iscrpnih informacija za identifikaciju problematičnog sertifikata.
- U sshd dodata je provera broja X11 prikazivača u odnosu na pomeraj naveden u direktivi X11DisplayOffset.
- U set unit testova dodate su opcije za merenje performansi, koje se aktiviraju prilikom pokretanja 'make UNITTEST_BENCHMARK=yes' u OpenBSD ili 'make unit-bench' u ostalim sistemima.
Promene koje potencijalno narušavaju unazadnu kompatibilnost:
- V ssh je dodana opozorila pri uporabi algoritma za usklajevanje ključev, ki ni odporen na napade s kvantnimi računalniki, ob vzpostavitvi povezave. Opozorilo je dodano zaradi tveganja morebitnih napadov v prihodnosti, ki bi uporabljali prejšnje shranjene posnetke prometa. Za izklop opozorila je dodana možnost WarnWeakCrypto v ssh_config. Match host unsafe.example.com WarnWeakCrypto no
- V ssh in sshd je bila obdelava parametrov kakovosti storitev DSCP (IPQoS) bistveno spremenjena. Za interaktivni promet se zdaj privzeto dodeli razred EF (Expedited Forwarding) za prednostno obdelavo v brezžičnih omrežjih. Za neinteraktivni promet se dodeli privzeti razred, ki se uporablja v operacijskem sistemu. Razred prometa je mogoče spremeniti z nastavitvijo IPQoS v ssh_config in sshd_config. Parametri ToS (type-of-service) za IPv4 v direktivi IPQoS so bili razglašeni za zastarele (DSCP je nadomestil ToS).
- V ssh-add je bila ob dodajanju certifikata v ssh-agent implementirana možnost nastavitve življenjske dobe certifikata na vrednost, ki je 5 minut daljša od trajanja certifikata (za samodejno odstranjevanje poteklega certifikata). Za izklop te funkcionalnosti je dodana možnost „-N“ v ssh-add.
- Podpora za ključe XMSS, ki je bila označena kot eksperimentalna in nikoli ni bila privzeto vključena, je bila odstranjena.
- Unix vtiči, ki jih ustvarita ssh-agent in sshd, so bili preneseni iz imenika /tmp v ~/.ssh/agent, kar zagotavlja, da ni mogoče dostopati do teh vtičev iz izoliranih procesov, ki jim je omejen dostop do datotečnega sistema, vendar imajo dostop do /tmp.
V prihodnjih izdajah bodo DNS zapisi SHA1 SSHFP razglašeni za zastarele zaradi težav z zanesljivostjo funkcije hash SHA1. Ti zapisi bodo ignorirani, ukaz „ssh-keygen -r“ pa bo generiral le zapise SHA256 SSHFP.
Izvor: opennet.ru
