Sapohet versioni OpenSSH 10.6, implementimi i hapur i klientit dhe serverit pĂ«r funksionimin sipas protokolleve SSH 2.0 dhe SFTP. ĂshtĂ« adresuar njĂ« numĂ«r problemesh tĂ« sigurisĂ«, shumica e tĂ« cilave u identifikuan gjatĂ« analizĂ«s sĂ« kodit duke pĂ«rdorur mjete AI (identifikuesit CVE nuk janĂ« caktuar):
- Një cenueshmëri në sftp, që lejon që të shkruhet një skedar jashtë drejtorisë së synuar kur lidhet me një server të kontrolluar nga sulmuesit.
- Dy cenueshmëri në implementimin GSSAPI në sshd, të shkaktuara nga ruajtja e gjendjes midis përpjekjeve të ndryshme për autentifikim. Kredencialet GSSAPI mund të ruheshin pas një përpjekjeje të dështuar për autentifikim dhe të përdoren pas një përpjekjeje të suksesshme për autentifikim. Probleme të tilla manifestohen kur aktivizohet konfigurimi GSSAPIAuthentication.
- Në sshd dhe ssh është çaktivizuar mbështetja për kompresimin LZ77 për shkak të mundësisë për kryerjen e një sulmi përmes kanaleve anësore, që lejon rikuperimin e përmbajtjes nga një sesion tjetër kur lidhet përmes një lidhjeje të përbashkët me viktimën, duke përfituar nga fakti se të dhënat e kontrolluara nga sulmuesi ndikojnë në gjatësinë e përgjithshme të mesazheve të enkriptuara që transmetohen (LZ77 zëvendëson rreshtat që përsëriten me referenca në një buffer të përbashkët për të gjitha kanalet).
- NĂ« utilitarin ssh, pĂ«rdorimi i simboleve â$â dhe â\â nĂ« emrat e pĂ«rdoruesve tĂ« futur nĂ« linjĂ«n e komandĂ«s Ă«shtĂ« ndaluar, pasi duke i pĂ«rdorur ato ishte e mundur tĂ« organizohej ekzekutimi i kodit nĂ«pĂ«rmjet zĂ«vendĂ«simit tĂ« emrave nĂ« direktivat ProxyCommand dhe Match exec qĂ« janĂ« tĂ« specifikuara nĂ« cilĂ«simet.
- Në ssh-keygen është korrigjuar përpunimi i gabuar i orës verore, që çonte në një ndarje të afatit të vlefshmërisë së certifikatave për 1 orë.
- Me qëllim bllokimin e krijimit të zip-bombave në sshd dhe ssh është shtuar një kontroll në tejkalimin e madhësisë maksimale të paketës gjatë shpërndarjes së të dhënave.
- Në sshd është zgjidhur një problem që lejonte anashkalimin e kufizimeve të fjalës kyçe 'restrict' në skedarin authorized_keys, i cili nuk aplikohej për tunelat (PermitTunnel).
- Në sshd është eliminuar përpunimi i gabuar i opsionit 'none' brenda bllokimeve Match, i cili në disa drejtime, si AuthorizedPrincipalsFile, interpretohej si emri i një skedari dhe jo si një shenjë për të çaktivizuar direktivën.
- Në sshd është eliminuar mungesa e rivendosjes së privilegjeve root në platformat që nuk mbështesin kalimin e deskriptorëve të skedareve dhe kërkojnë të drejtat e root për alokimin e PTY. Problemi manifestohet në QNX 6, SCO OpenServer 5 dhe në ndërtimin me opsionin '--disable-fd-passing'.
Ndryshime të pa lidhura me vulnerabilitetet:
- Mbështetje e aktivizuar për algoritmin hibrid të kriptimit ssh-mldsa44-ed25519, i qëndrueshëm ndaj thyerjes nga kompjuterët kuantikë.
- Në sshd_config është implementuar dhe aktivizuar si parazgjedhje opsioni WarnWeakCrypto për të menaxhuar daljen e paralajmërimeve mbi lidhjet e krijuara me algoritme të negociatës së çelësit, të cilat nuk janë të qëndrueshme ndaj thyerjes nga kompjuterët kuantikë.
- Në ssh-keygen dhe ssh-add është realizuar kontrolli i politikës credProtect në kredencialet për të përmbushur kërkesat e verifikimit (PIN ose biometrikë) para qasjes në çelësat rezidencialë në tokenat FIDO.
- Në ssh-add është shtuar flag "-P" për të përjashtuar futjen opsionale të PIN-it për tokenat FIDO dhe PKCS#11.
- Në ssh komanda ~I është implementuar nxjerrja e informacionit mbi versionet në sistemet lokale dhe të largëta.
- NĂ« sftp komanda mkdir/lmkdir Ă«shtĂ« shtuar flag â-pâ pĂ«r krijimin e katalogĂ«ve kur Ă«shtĂ« e nevojshme.
- NĂ« ssh-keygen Ă«shtĂ« shtuar modulet âhexdumpâ pĂ«r eksportimin e çelĂ«save nĂ« formĂ«n e dump-eve nĂ« hexadecimal (pĂ«r shembull, pĂ«r t'u vendosur nĂ« dokumentacion).
- Në ssh dhe sshd në direktivën ChannelTimeout lejohet caktimi i kohëve të pritjes me saktësi deri në pjesët e sekondës.
- Në sshd është shtuar opsioni AgentSocketPath për të specifikuar rrugën në $SSH_AUTH_SOCK gjatë tentativave të shërbimit (p.sh., user:.ssh/agent për nënkatalogët në $HOME dhe shared:/tmp për katalogët e përbashkët).
- NĂ« ssh-agent Ă«shtĂ« shtuar flag "-A" pĂ«r tĂ« caktuar katalogĂ«t me socket-et e agjentit, ku lejohet specifikimi i prefikseve âuser:â dhe âshared:â si nĂ« opsionin AgentSocketPath.
- NĂ« sshd kontrolli i çelĂ«save publik Ă«shtĂ« ndarĂ« nga pĂ«rpjekjet e autentikimit. ĂshtĂ« shtuar opsioni «PubkeyOptions max-pk-ok:nnnn» pĂ«r tĂ« caktuar numrin e pĂ«rpjekjeve pĂ«r verifikimin e çelĂ«save publik (me parazgjedhje 6), pas tĂ« cilave lidhja do tĂ« ndĂ«rpritet pĂ«r shkak tĂ« kufirit MaxAuthTries.
- Në ssh dhe sshd në opsionin TCPKeepAlive është shtuar mbështetje për vlerën «all», që përfshin dërgimin e paketave keepalive jo vetëm për lidhjen kryesore, por edhe për lidhjet e përçuar përmes saj.
Burimi: opennet.ru
