Släpp av OpenSSH 10.3

Efter ett halvårs utveckling har utgåvan av OpenSSH 10.3, den öppna implementationen av klienten och servern för protokollen SSH 2.0 och SFTP, publicerats. Huvudsakliga förändringar:

• En sårbarhet har åtgärdats som gör att en angripare, som kontrollerar användarnamnet som skickas vid körning av ssh-verktyget, potentiellt kan få tillgång till körning av godtyckliga shell-kommandon. Sårbarheten uppträder i system som använder substitution " %u " i vissa direktiv i konfigurationsfilen, som " Match exec ". Problemet orsakas av kontroll av specialtecken i användarnamn efter att %-substitutioner har utförts i ssh_config-filen.
• Ett säkerhetsproblem har åtgärdats i sshd, orsakat av en felaktig matchning av alternativet authorized_keys principals=»» med en lista av namn (principal) i certifikatet i situationer där namnen innehåller tecknet « , ». För att utnyttja sårbarheten krävs att alternativet authorized_keys principals=»» innehåller flera namn och att certifikatutfärdaren har gett ut ett certifikat med flera namn avskilda med kommatecken (vilket vanligtvis inte tillåts). Beteendet med certifikat med tomma namn har ändrats — tidigare omfattades tomma namn av alla alternativ i authorized_keys principals=»», men nu omfattas de inte.
• I scp har ett problem åtgärdats, där flaggorna setuid/setgid inte rensades efter överföring av en fil med root-åtkomst när alternativet " -O " angavs och utan alternativet " -p ".
• I sshd har ett problem med hantering av ECDSA-nycklar i direktiven PubkeyAcceptedAlgorithms och HostbasedAcceptedAlgorithms åtgärdats, vilket ledde till att om något ECDSA-algoritm (t.ex. " ecdsa-sha2-nistp384 ") angavs började även andra ECDSA-algoritmer accepteras, även om de inte uttryckligen angavs i den tillåtna listan.
• I ssh och sshd tillagdes stöd för identifierare (codepoint) definierade av IANA i specifikationen draft-ietf-sshm-ssh-agent vid interaktion med SSH-agenter. Stödet för tidigare använda identifierare av typen « @openssh.com » har bevarats.
• I ssh-agent implementerades förlängningen « query », definierad i specifikationen draft-ietf-sshm-ssh-agent, som möjliggör att identifiera stödda agentfunktioner. För att begära en lista över stödda protokollförlängningar via « query » har alternativet « -Q » lagts till i ssh-add.
• I sshd_config har det blivit möjligt att ange flera filer i direktivet RevokedKeys, och i ssh_config — i direktivet RevokedHostKeys.
• I ssh har kommandot "~I" och alternativet "-O conninfo" lagts till för att visa information om den aktuella anslutningen, liksom alternativet "-O channels" för att visa information om öppna kanaler.
• I sshd-direktivet PerSourcePenalties har alternativet 'invaliduser' implementerats för att lägga till en fördröjning vid försök att logga in med en icke-existerande användare (standard 5 sekunder). Möjligheten att ange icke-heltaliga fördröjningsvärden har lagts till.
• I sshd har alternativet GSSAPIDelegateCredentials lagts till för att hantera mottagandet av delegerade autentiseringsuppgifter som tillhandahålls av klienten.
• I ssh-keygen har stöd för att skriva ED25519-nycklar i PKCS8-format lagts till.
• Stödet för den digitala signaturschemat ed25519 har lagts till, implementerat genom libcrypto.

Källa: opennet.ru