Është publikuar publikimi i OpenSSH 9.3, një zbatim i hapur i klientit dhe serverit për të punuar mbi protokollet SSH 2.0 dhe SFTP. Versioni i ri rregullon problemet e sigurisë:
- Është identifikuar një gabim logjik në mjetin ssh-add, për shkak të të cilit, kur shtohen çelësat e smartcard-it në ssh-agent, kufizimet e specifikuara duke përdorur opsionin "ssh-add -h" nuk i kaluan agjentit. Si rezultat, agjentit iu shtua një çelës, për të cilin nuk u zbatuan kufizime që lejonin lidhje vetëm nga hoste të caktuar.
- Është identifikuar një dobësi në programin ssh që mund të shkaktojë leximin e të dhënave nga zona e stivës jashtë bufferit të caktuar kur përpunohen përgjigjet DNS të krijuara posaçërisht nëse cilësimi VerifyHostKeyDNS përfshihet në skedarin e konfigurimit. Problemi ekziston në zbatimin e integruar të funksionit getrrsetbyname(), i cili përdoret në versionet portative të OpenSSH të ndërtuara pa përdorur bibliotekën e jashtme ldns (--with-ldns) dhe në sistemet me biblioteka standarde që nuk mbështesin emrin getrrsetby () thirrje. Mundësia e shfrytëzimit të cenueshmërisë, përveç fillimit të një mohimi të shërbimit për klientin ssh, vlerësohet si e pamundur.
Për më tepër, një dobësi mund të vërehet në bibliotekën libskey të përfshirë me OpenBSD, e cila përdoret në OpenSSH. Problemi është i pranishëm që nga viti 1997 dhe mund të çojë në një tejmbushje buferi në pirg kur përpunohen emrat e hosteve të krijuara posaçërisht. Vihet re se pavarësisht faktit se manifestimi i cenueshmërisë mund të inicohet nga distanca nëpërmjet OpenSSH, në praktikë dobësia është e padobishme, pasi për manifestimin e tij emri i hostit të sulmuar (/etc/hostname) duhet të përmbajë më shumë se 126 karaktere, dhe buferi mund të tejmbushet vetëm me karaktere me kod null ('\0').
Ndër ndryshimet jo të sigurisë:
- Mbështetja e shtuar për parametrin "-Ohashalg=sha1|sha256" në ssh-keygen dhe ssh-keyscan për të zgjedhur algoritmin për shfaqjen e fotografive SSHFP.
- U shtua opsioni "-G" në sshd për të analizuar dhe shfaqur konfigurimin aktiv pa u përpjekur të ngarkoni çelësat privatë dhe pa kryer kontrolle shtesë, duke lejuar që konfigurimi të kontrollohet përpara gjenerimit të çelësit dhe të drejtohet nga përdorues të paprivilegjuar.
- sshd ka përmirësuar izolimin në platformën Linux duke përdorur mekanizmat e filtrimit të thirrjeve të sistemit seccomp dhe seccomp-bpf. U shtuan flamuj në mmap, madvise dhe futex në listën e thirrjeve të lejuara të sistemit.
Burimi: opennet.ru