Utgivning av OpenSSH 8.3 med en sårbarhet i scp åtgärdad

Efter tre månaders utveckling presenteras utgivning OpenSSH 8.3, en öppen implementation av klient och server för arbete med protokollen SSH 2.0 och SFTP.

I den nya versionen har skydd mot attacker på scp lagts till, vilket gör att servern kan överföra andra filnamn än de som begärts (till skillnad från den tidigare sårbarheten, attacker ger inte möjlighet att byta katalog eller glob-mönster som användaren valt). Vi påminner om att i SCP fattar servern beslut om vilka filer och kataloger som ska skickas till klienten, medan klienten bara verifierar korrektheten av de returnerade objektnamnen. Kärnan i det identifierade problemet är att om systemanropet utimes misslyckas, tolkas innehållet i filen som metadata för filen.

Denna egenskap vid anslutning till en server kontrollerad av en angripare kan användas för att spara andra filnamn och annat innehåll i användarens filsystem vid kopiering med scp i konfigurationer som orsakar fel vid anrop av utimes (till exempel när utimes är förbjuden av SELinux-policy eller systemanropsfilter). Sannolikheten för verkliga attacker bedöms som minimal, eftersom anropet utimes inte misslyckas i typiska konfigurationer. Dessutom går inte attacken obemärkt förbi — vid anrop av scp visas ett felmeddelande om överföring av data.

Allmänna ändringar:

• I sftp har behandlingen av argumentet "-1" upphört på samma sätt som med ssh och scp, vilket tidigare accepterades men ignorerades;
• I sshd, när IgnoreRhosts används, finns nu tre alternativ att välja mellan: "yes" — ignorera rhosts/shosts, "no" — ta hänsyn till rhosts/shosts och "shosts-only" — tillåta ".shosts", men förbjuda ".rhosts";
• I ssh säkerställs behandling av substitution %TOKEN i inställningarna för LocalFoward och RemoteForward, som används för att vidarebefordra Unix-socketar;
• Möjlighet att ladda öppna nycklar från en okrypterad fil med privat nyckel har tillåtits, om ingen separat fil med öppen nyckel finns;
• Med libcrypto i systemet, använder ssh och sshd nu implementeringen av algoritmen chacha20 från detta bibliotek, istället för den inbyggda portabla implementationen som ligger efter i prestanda;
• Möjlighet att dumpa innehållet i den binära listan över återkallade certifikat vid körning av kommandot "ssh-keygen -lQf /path" har implementerats.
• I den bärbara versionen implementerades identifiering av system där signaler med SA_RESTART-alternativet avbryter arbetet med select;
• Problem med kompilering på HP/UX och AIX-system har åtgärdats;
• Problem med sammansättning av seccomp-sandbox i vissa Linux-konfigurationer har åtgärdats;
• Förbättrad identifiering av libfido2-biblioteket och problem med kompilering med alternativet "—with-security-key-builtin" har lösts.

Utvecklarna av OpenSSH har återigen varnat för den kommande övergången till föråldrade algoritmer som använder SHA-1-hashning på grund av ökande effektivitet i kollisionangrepp med angiven prefix (kostnaden för att knäcka en kollision uppskattas till cirka 45 tusen dollar). I en av de kommande utgåvorna planerar man att som standard stänga av möjligheten att använda den offentliga nyckeln "ssh-rsa" för digitala signaturer, vilket nämns i den ursprungliga RFC för SSH-protokollet och som fortfarande är allmänt förekommande i praktiken (för att kontrollera användningen av ssh-rsa i sina system kan man försöka ansluta via ssh med alternativet "-oHostKeyAlgorithms=-ssh-rsa").

För att underlätta övergången till nya algoritmer kommer OpenSSH i en av de följande utgåvorna som standard att aktivera inställningen UpdateHostKeys, vilket automatiskt kommer att överföra kunder till mer pålitliga algoritmer. Bland de rekommenderade algoritmerna för migrering nämns rsa-sha2-256/512 baserat på RFC8332 RSA SHA-2 (stöds från OpenSSH 7.2 och används som standard), ssh-ed25519 (stöds från OpenSSH 6.5) och ecdsa-sha2-nistp256/384/521 baserat på RFC5656 ECDSA (stöds från OpenSSH 5.7).

Från och med den senaste utgåvan har "ssh-rsa" och "diffie-hellman-group14-sha1" tagits bort från listan över CASignatureAlgorithms, som definierar algoritmer som är tillåtna för digital signatur av nya certifikat, eftersom användningen av SHA-1 i certifikat innebär en extra risk eftersom en angripare har obegränsad tid att hitta en kollision för ett existerande certifikat, medan tiden för angrepp på värdnycklarna är begränsad av anslutningens timeout (LoginGraceTime).

Källa: opennet.ru