{"id":183658,"date":"2026-10-06T22:53:58","date_gmt":"2026-10-06T20:53:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-openssh-10-6-s-ustraneniem-uyazvimostej"},"modified":"2026-10-06T22:54:02","modified_gmt":"2026-10-06T20:54:02","slug":"openssh-10-6-released-with-vulnerability-fixes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/news\/openssh-10-6-released-with-vulnerability-fixes","title":{"rendered":"Izdanje OpenSSH 10.6 s ispravkama ranjivosti","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Objavljeno je izdanje OpenSSH 10.6, otvorene implementacije klijenta i servera za rad putem SSH 2.0 i SFTP protokola. Ispravljeni su sigurnosni problemi, od kojih su ve\u0107ina otkriveni analizom koda kori\u0161\u0107enjem AI alata (CVE identifikatori nisu dodeljeni): <\/p>\n
\n
Ranjivost u sftp koja omogu\u0107ava upis fajla izvan ciljne direktorije kada se obra\u0107a serveru pod kontrolom napada\u010da.\n
Dve ranjivosti u implementaciji GSSAPI u sshd, izazvane \u010duvanjem stanja izme\u0111u razli\u010ditih poku\u0161aja autentifikacije. GSSAPI akreditivi su mogli ostati sa\u010duvani nakon neusp\u0161esnog poku\u0161aja autentifikacije i koristiti se nakon kasnijeg uspe\u0161nog poku\u0161aja autentifikacije. Problemi se javljaju kada je omogu\u0107ena GSSAPIAuthentication opcija.\n
Podr\u0161ka za LZ77 kompresiju je onemogu\u0107ena u sshd i ssh zbog mogu\u0107nosti napada putem sporednog kanala, koja omogu\u0107ava vra\u0107anje sadr\u017eaja iz druge sesije kada se povezuje putem nastavljenog povezivanja deljenog sa \u017ertvom, koriste\u0107i \u010dinjenicu da podaci pod kontrolom napada\u010da uti\u010du na ukupnu du\u017einu prenesenih \u0161ifrovanih poruka (LZ77 zamenjuje ponavljaju\u0107e redove referencama u zajedni\u010dkom baferu za sve kanale).\n
V orodju ssh je prepovedano uporabljati znake ‘$’ in ‘\’ v imenih uporabnikov, ki so jih vnesli v ukazno vrstico, saj je bilo mo\u017eno z njihovo pomo\u010djo izvesti kodo pri vstavljanju imen v direktive ProxyCommand in Match exec, navedene v nastavitvah.\n
U ssh-keygen ispravljena je nepravilna obrada letnjeg vremena, koja je dovodila do pomeranja roka va\u017eenja sertifikata za 1 sat.\n
Sa ciljem blokiranja kreiranja zip-bombi, u sshd i ssh dodata je provera prekora\u010denja maksimalne veli\u010dine paketa prilikom raspakivanja podataka.\n
V sshd je re\u0161en problem, ki je omogo\u010dil obvoz omejitev klju\u010dne besede «restrict» v datoteki authorized_keys, ki se ni uporabljala za predore (PermitTunnel).\n
V sshd je odpravljena napa\u010dna raz\u010dlenitev mo\u017enosti «none» znotraj blokov Match, ki je bila v nekaterih direktivah, kot je AuthorizedPrincipalsFile, interpretirana kot ime datoteke, ne pa kot znak za onemogo\u010ditev direktive.\n
V sshd je odpravljena odsotnost ponastavitve privilegijev root na platformah, ki ne podpirajo prenosa datote\u010dnih descriptorjev in zahtevajo za dodelitev PTY pravice root. Te\u017eava se ka\u017ee v QNX 6, SCO OpenServer 5 in pri sestavljanju z mo\u017enostjo «—disable-fd-passing». <\/ul>\n
Spremembe, ki niso povezane z ranljivostmi: <\/p>\n
\n
Dodana je podpora za hibridni kriptoalgoritem ssh-mldsa44-ed25519, odporen na napade kvantnih ra\u010dunalnikov.\n
V sshd_config je bila implementirana in po privzetku omogo\u010dena mo\u017enost WarnWeakCrypto za upravljanje izhodnih opozoril pri vzpostavitvi povezave z algoritmi za usklajevanje klju\u010dev, ki niso odporni na napade kvantnih ra\u010dunalnikov.\n
V ssh-keygen in ssh-add je bila uvedena politika credProtect za izpolnjevanje zahtev verifikacije (PIN ali biometrija) pred dostopom do rezidentnih klju\u010dev na FIDO \u017eetonih.\n
V ssh-add je bila dodana zastavica «-P» za presko\u010ditev neobveznega vnosa PIN-a za FIDO in PKCS#11 tokene.\n
V ssh v ukazu ~I je bila implementirana mo\u017enost izpisa informacij o razli\u010dicah na lokalnih in oddaljenih sistemih.\n
V sftp so komandam mkdir\/lmkdir dodali zastavico ‘-p’ za ustvarjanje imenikov po potrebi.\n
V ssh-keygen je bil dodan na\u010din «hexdump» za izvoz klju\u010dev v obliki \u0161estnajsti\u0161kih dumpov (na primer za lepljenje v dokumentacijo).\n
V ssh in sshd je v direktivi ChannelTimeout dovoljeno dolo\u010danje \u010dasovnih omejitev z natan\u010dnostjo do delov sekunde.\n
V sshd je bila dodana mo\u017enost AgentSocketPath za dolo\u010danje poti do $SSH_AUTH_SOCK pri posredovanju agenta (na primer user:.ssh\/agent za poddirektorije v $HOME in shared:\/tmp za skupne mape).\n
V ssh-agent je bila dodana zastavica «-A» za dolo\u010ditev imenikov s soketi agenta, v katerih je dovoljeno navajanje predpon «user:» in «shared:» kot v mo\u017enostih AgentSocketPath.\n
V sshd je preverjanje odprtih klju\u010dev lo\u010deno od poskusov avtentikacije. Dodana je mo\u017enost «PubkeyOptions max-pk-ok:nnnn» za nastavitev \u0161tevila poskusov preverjanja odprtih klju\u010dev (privzeto 6), po katerih bo povezava prekinjena zaradi omejitve MaxAuthTries.\n
V ssh in sshd je mo\u017enosti TCPKeepAlive dodana podpora za vrednost «all», ki vklju\u010duje po\u0161iljanje keepalive paketov ne samo za glavno povezavo, ampak tudi za povezave, ki so prosto prehajale skozi njo. <\/ul>\n