Uppdatering av OpenSSH 9.3 med säkerhetsproblem åtgärdade

Utgåvan av OpenSSH 9.3 har publicerats, en öppen implementation av klient och server för att arbeta med protokollen SSH 2.0 och SFTP. I den nya versionen har säkerhetsproblem åtgärdats:

• I verktyget ssh-add har en logisk fel identifierats, där begränsningar satta med alternativet "ssh-add -h" inte överfördes till ssh-agenten vid tillägg av nycklar för smartkort. Som ett resultat lades en nyckel till agenten utan tillämpliga begränsningar som tillåter anslutningar endast från specifika värdar.
• En sårbarhet har upptäckts i verktyget ssh, som kan leda till att data läses från stackområdet utanför den allokerade bufferten vid behandling av speciellt utformade DNS-svar, om inställningen VerifyHostKeyDNS är aktiverad i konfigurationsfilen. Problemet finns i den inbyggda implementationen av funktionen getrrsetbyname(), som används i portabla versioner av OpenSSH, som sammanställs utan att använda det externa biblioteket ldns (—with-ldns) och på system med standardbibliotek som inte stöder anrop av getrrsetbyname(). Möjligheten att utnyttja sårbarheten, förutom att initiera en denial-of-service mot ssh-klienten, bedöms som osannolik.

Ytterligare kan en sårbarhet noteras i det bibliotek som ingår i OpenBSD, libskey, vilket används i OpenSSH. Problemet har funnits sedan 1997 och kan leda till buffertöverflöd i stacken vid behandling av speciellt utformade värdnamn. Det påpekas att även om sårbarheten kan initieras på distans via OpenSSH, är den praktiskt taget värdelös, då värdnamnet ( /etc/hostname ) för attacken måste innehålla mer än 126 tecken, och bufferten kan endast översvämmats av nolltecken (‘\0’).

Bland de icke-säkerhetsrelaterade ändringarna:

• I ssh-keygen och ssh-keyscan har stöd för parametern "-Ohashalg=sha1|sha256" lagts till för att välja hash-algoritm för SSHFP.
• I sshd har alternativet "-G" lagts till för att analysera och visa den aktiva konfigurationen utan att försöka ladda privata nycklar och utan att göra ytterligare kontroller, vilket gör det möjligt att verifiera konfigurationen före nyckelgenerering och köra kontrollen med icke-privilegierade användare.
• I sshd förstärker isoleringen på Linux-plattformen med hjälp av systemanropsfiltermekanismerna seccomp och seccomp-bpf. Flaggor för mmap, madvise och futex har lagts till i listan över tillåtna systemanrop.

Källa: opennet.ru