Објављено је издање ОпенССХ 9.6, отворене имплементације клијента и сервера за рад користећи ССХ 2.0 и СФТП протоколе. Нова верзија поправља три безбедносна проблема:
- Рањивост у ССХ протоколу (ЦВЕ-2023-48795, напад „Террапин“), која омогућава МИТМ нападу да врати везу како би користио мање безбедне алгоритме за аутентификацију и онемогућио заштиту од напада са стране канала који поново креирају улаз анализирајући кашњења између притисака на тастере на тастатури . Метод напада је описан у посебном чланку.
- Рањивост у ссх услужном програму који дозвољава замену произвољних команди љуске кроз манипулацију вредностима за пријаву и хост који садрже специјалне знакове. Рањивост се може искористити ако нападач контролише вредности за пријаву и име хоста прослеђене ссх, ПрокиЦомманд и ЛоцалЦомманд директивама или блокове „матцх екец“ који садрже џокер знакове као што су %у и %х. На пример, нетачна пријава и хост могу бити замењени у системима који користе подмодуле у Гиту, пошто Гит не забрањује навођење посебних знакова у именима хоста и корисника. Слична рањивост се такође појављује у либссх.
- Постојала је грешка у ссх-агенту где су, приликом додавања приватних кључева ПКЦС#11, ограничења примењена само на први кључ који је вратио ПКЦС#11 токен. Проблем не утиче на обичне приватне кључеве, ФИДО токене или неограничене кључеве.
Остале промене:
- Додата замена „%ј“ у ссх, која се проширује на име хоста наведено преко ПрокиЈумп директиве.
- ссх је додао подршку за подешавање ЦханнелТимеоут-а на страни клијента, што се може користити за укидање неактивних канала.
- Додата подршка за читање приватних кључева ЕД25519 у ПЕМ ПКЦС8 формату на ссх, ссхд, ссх-адд и ссх-кеиген (раније је био подржан само ОпенССХ формат).
- Проширење протокола је додато у ссх и ссхд за поновно преговарање о алгоритмима дигиталног потписа за аутентификацију јавног кључа након што је примљено корисничко име. На пример, користећи екстензију, можете селективно користити друге алгоритме у односу на кориснике тако што ћете навести ПубкеиАццептедАлгоритхмс у блоку „Упари корисника“.
- Додато је проширење протокола за ссх-адд и ссх-агент за постављање сертификата приликом учитавања кључева ПКЦС#11, омогућавајући да се сертификати повезани са приватним кључевима ПКЦС#11 користе у свим ОпенССХ услужним програмима који подржавају ссх-агент, а не само ссх.
- Побољшано откривање неподржаних или нестабилних заставица компајлера као што је "-фзеро-цалл-усед-регс" у цланг.
- Да би се ограничиле привилегије ссхд процеса, верзије ОпенСолариса које подржавају гетпфлагс() интерфејс користе ПРИВ_КСПОЛИЦИ режим уместо ПРИВ_ЛИМИТ.
Извор: опеннет.ру