Po šestmesečnem razvoju je bila objavljena izdaja OpenSSH 10.3, odprte implementacije odjemalca in strežnika strežnika za delovanje po protokolih SSH 2.0 in SFTP. Glavne novosti:
- Odpravljena je ranljivost, ki omogoča napadalcu, ki nadzira uporabniško ime, posredovano ob zagonu orodja ssh, potencialno izvajanje poljubnih shell ukazov. Ranljivost se pojavlja v sistemih, ki uporabljajo zamenjavo „%u“ v nekaterih direktivah konfiguracijske datoteke, kot so „Match exec“. Težavo povzroča preverjanje posebnih znakov v uporabniškem imenu v fazi po izvajanju %-zamenjav v datoteki ssh_config.
- Odpravljena je težava z varnostjo v sshd, ki je povzročila nepravilno ujemanje možnosti authorized_keys principals=»» s seznamom imen (principal) v certifikatu v situaciji, ko so bila imena navedena z znakom „,“. Za izkoriščanje ranljivosti je potrebno, da je v možnosti authorized_keys principals=»» navedenih več imen in da je potrdilni center izdal certifikat z več imeni, ločenimi z vejico (kar običajno ni dovoljeno). Spremenjeno je obnašanje v zvezi s certifikati s praznim imenom — prej se je prazno ime ujemalo z vsemi možnostmi authorized_keys principals=»», zdaj pa se ne ujema.
- V scp je bila odpravljena težava, zaradi katere po prenosu datoteke s pravicami root z navedeno možnostjo „-O“ in brez možnosti „-p“ niso bili očiščeni oznake setuid/setgid.
- V sshd je bila popravljen problem z obdelavo ključev ECDSA v direktivah PubkeyAcceptedAlgorithms in HostbasedAcceptedAlgorithms, zaradi katere je v primeru navedbe katerega koli algoritma ECDSA (na primer „ecdsa-sha2-nistp384“) začelo sprejemati tudi vse druge algoritme na osnovi ECDSA, tudi če niso jasno navedeni v seznamu dovoljenih.
- V ssh in sshd je pri interakciji z SSH-agenti dodana podpora identifikatorjem (codepoint), določenim v IANA v specifikaciji draft-ietf-sshm-ssh-agent. Podpora prej uporabljenim identifikatorjem tipa „@openssh.com“ je ohranjena.
- V ssh-agentu je bila implementirana razširitev „query“, določena v specifikaciji draft-ietf-sshm-ssh-agent, ki omogoča določitev, katere funkcije podpira agent. Za poizvedbo o seznamu podprtih razširitev protokola preko zahteve „query“ je v orodje ssh-add dodana možnost „-Q“.
- V sshd_config je dovoljeno navedbo več datotek v direktivi RevokedKeys, v ssh_config pa v direktivi RevokedHostKeys.
- V ssh je dodana escape-komanda «~I» in možnost «-O conninfo» za prikaz informacij o trenutni povezavi ter možnost «-O channels» za prikaz informacij o odprtih kanalih.
- V sshd je bila v direktivi PerSourcePenalties implementirana možnost ‘invaliduser’ za dodajanje zamude v primeru poskusa prijave z neobstoječim uporabniškim imenom (privzeto 5 sekund). Dodana je možnost določanja nedeljivih vrednosti zamude.
- V sshd je dodana možnost GSSAPIDelegateCredentials za upravljanje sprejemanjem delegiranih poverilnic, ki jih zagotovi odjemalec.
- V ssh-keygen je dodana podpora za zapisovanje ključev ED25519 v formatu PKCS8.
- Dodana je podpora za shemo digitalnih podpisov ed25519, implementirana preko libcrypto.
Izvor: opennet.ru
