Efter sex månaders utveckling har releasen av OpenSSH 9.1 publicerats, en öppen implementering av en klient och server för att arbeta över SSH 2.0- och SFTP-protokollen. Utgåvan kännetecknas av att den mestadels innehåller buggfixar, inklusive flera potentiella sårbarheter orsakade av minnesproblem:
- En-byte-spill i SSH-bannerns bearbetningskod i ssh-keyscan-verktyget.
- Dubbelanrop till free()-funktionen i händelse av ett fel vid beräkning av hash för filer i koden för att skapa och verifiera digitala signaturer i ssh-keygen-verktyget.
- Dubbelanrop till free()-funktionen vid hantering av fel i ssh-keysign-verktyget.
Huvudändringar:
- RequiredRSASize-direktivet har lagts till i ssh och sshd, så att du kan bestämma den minsta tillåtna storleken på RSA-nycklar. I sshd kommer mindre nycklar att ignoreras, och i ssh kommer de att resultera i att anslutningen avslutas.
- Den portabla utgåvan av OpenSSH har konverterats till att använda SSH-nycklar för att digitalt signera commits och taggar i Git.
- SetEnv-direktiven i konfigurationsfilerna ssh_config och sshd_config tillämpar nu värdet från det första omnämnandet av miljövariabeln om den definieras mer än en gång i konfigurationen (tidigare användes det senaste omnämnandet).
- När du anropar verktyget ssh-keygen med flaggan "-A" (genererar alla typer av värdnycklar som stöds som standard), inaktiveras genereringen av DSA-nycklar, som inte har använts som standard på flera år.
- sftp-server och sftp implementerar tillägget "[e-postskyddad]", vilket tillåter klienten att begära användar- och gruppnamn som motsvarar en specificerad uppsättning numeriska identifierare (uid och gid). I sftp används detta tillägg för att visa namn när innehållet i en katalog visas.
- sftp-server implementerar tillägget "hemkatalog" för att expandera ~/ och ~user/ sökvägar, ett alternativ till det tidigare föreslagna tillägget "[e-postskyddad]"(tillägget "hemkatalog" föreslås för standardisering och stöds redan av vissa klienter).
- ssh-keygen och sshd lägger till möjligheten att ange tid i UTC-tidszonen vid bestämning av certifikat- och nyckelgiltighetsintervall, förutom systemtid.
- sftp tillåter att ytterligare argument specificeras med alternativet "-D" (till exempel "/usr/libexec/sftp-server -el debug3").
- ssh-keygen tillåter användning av "-U"-flaggan (använd ssh-agent) tillsammans med "-Y sign"-operationer för att fastställa att privata nycklar är värd för ssh-agent.
Källa: opennet.ru