Utgivningen av OpenSSH 10.1

OpenSSH 10.1 har släppts, en öppen implementering av klient och server för arbete med protokollen SSH 2.0 och SFTP.

Huvudsakliga förändringar:

• Ett säkerhetsproblem har åtgärdats, vilket tillåter en angripare att infoga shell-kommandon genom att manipulera specialtecken i användarnamnet eller URI:n, vilket kan utföras vid körning av kommandon specificerade via inställningen "ProxyCommand" och som innehåller substitutionen "%u". Problemet påverkar endast system som tillåter användarnamn eller URI:er att substitueras från otillförlitliga källor när ssh startas.

  För att blockera sådana attacker har användning av kontrolltecken förbjudits i användarnamn som anges vid körning i kommandoraden eller som substationeras i inställningar via %-sekvenser. Användning av null-tecknet ("\0") i URI ssh:// förbjuds också. Undantag görs endast för namn angivna i konfigurationsfilen (det antas att uppgifterna i konfigurationsfilen är pålitliga).
• Stöd för ed25519-nycklar som lagras i PKCS#11-token har lagts till ssh- och ssh-agentverktygen.
• Inställningen RefuseConnection har lagts till ssh_config-filen, där processen avslutas med ett felmeddelande utan att försöka upprätta en anslutning när den aktiva sektionen behandlas. Matcha värd foo RefuseConnection "värd foo används inte längre, anslut till värden bar"
• Till ssh och sshd har signalhandlaren SIGINFO lagts till för att logga information om sessionen och den aktiva kanalen.
• I sshd, om användarens autentisering via certifikat avslås, loggas inte bara orsaken till blockeringen utan även omfattande information för att identifiera det problematiska certifikatet.
• I sshd har kontroll av X11-displaynumret lagts till, i förhållande till förskjutningen angiven i direktivet X11DisplayOffset.
• Möjligheter till prestandamätningar har lagts till i enhets-testuppsättningarna och aktiveras genom att köra "make UNITTEST_BENCHMARK=yes" i OpenBSD eller "make unit-bench" i andra system.

Ändringar som potentiellt bryter mot bakåtkompatibilitet:

• I ssh har ett varningsmeddelande lagts till vid användning av en sårbar nyckelavtal algoritm vid anslutning, som är känslig för kvantdatorattacker. Varningen har lagts till på grund av risken för attacker i framtiden, med hjälp av tidigare sparade trafikdumpningar. För att stänga av varningen har alternativet WarnWeakCrypto lagts till i ssh_config. Matcha värd unsafe.example.com WarnWeakCrypto no
• I ssh och sshd har behandlingen av parameterar för tjänstekvalitet (DSCP, IPQoS) ändrats avsevärt. För interaktiv trafik sätts nu klassen EF (Expedited Forwarding) som standard för att prioriteras i trådlösa nätverk. För icke-interaktiv trafik används standardklassen som operativsystemet angivit. Trafikklass kan ändras med inställningen IPQoS i ssh_config och sshd_config. ToS-parametrar (type-of-service) för IPv4 i direktivet IPQoS har förklarats som föråldrade (DSCP har ersatt ToS).
• I ssh-add har möjligheten att ställa in certifikatets livslängd till ett värde som är 5 minuter längre än certifikatets giltighetstid lagts till vid tillägg av certifikat till ssh-agent (för automatisk borttagning av överskridna certifikat). För att stänga av detta beteende har alternativet ‘-N’ lagts till i ssh-add.
• Stödet för XMSS-nycklar har tagits bort, då det klassades som experimentellt och aldrig aktiverats som standard.
• Unix-socketar som skapas av ssh-agent och sshd har flyttats från katalogen /tmp till ~/.ssh/agent, vilket garanterar att de inte kan nås från isolerade processer med begränsad filsystemåtkomst, men öppen åtkomst till /tmp.

I framtida versioner kommer DNS-poster för SHA1 SSHFP att förklaras som föråldrade på grund av tillförlitlighetsproblem med hash-funktionen SHA1. Dessa poster kommer att ignoreras, och kommandot ‘ssh-keygen -r’ kommer bara att generera SHA256 SSHFP-poster.

Källa: opennet.ru