{"id":144216,"date":"2025-10-06T17:11:54","date_gmt":"2025-10-06T15:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/reliz-openssh-10-1"},"modified":"2025-10-06T17:11:54","modified_gmt":"2025-10-06T15:11:54","slug":"reliz-openssh-10-1","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/reliz-openssh-10-1","title":{"rendered":"Utgivningen av OpenSSH 10.1","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
OpenSSH 10.1 har sl\u00e4ppts, en \u00f6ppen implementering av klient och server f\u00f6r arbete med protokollen SSH 2.0 och SFTP. <\/p>\n
Huvudsakliga f\u00f6r\u00e4ndringar: <\/p>\n
\n
En s\u00e4kerhetsproblem har \u00e5tg\u00e4rdats som l\u00e5ter en angripare injicera shell-kommandon genom att manipulera specialtecken i anv\u00e4ndarnamnet eller URI:er, vilket skulle kunna utf\u00f6ras vid k\u00f6rning av en kommando angiven genom inst\u00e4llningen \"ProxyCommand\" och som inneh\u00e5ller substitutionen \"%u\". Problemet p\u00e5verkar endast system som till\u00e5ter substitution av anv\u00e4ndarnamn eller URI:er fr\u00e5n otillf\u00f6rlitliga k\u00e4llor vid inloggning med ssh.\n
F\u00f6r att blockera s\u00e5dana attacker \u00e4r anv\u00e4ndningen av kontrolltecken i anv\u00e4ndarnamn som anges vid uppstart i kommandoraden eller substitueras i inst\u00e4llningar via %-sekvenser f\u00f6rbjudet. Anv\u00e4ndning av nulltecknet (\"\\0\") i ssh:\/\/ URI:er \u00e4r ocks\u00e5 f\u00f6rbjudet. Undantag g\u00f6rs endast f\u00f6r namn som anges i konfigurationsfilen (det antas att dessa konfigurationsfiler \u00e4r p\u00e5litliga). <\/p>\n
St\u00f6d f\u00f6r ed25519-nycklar som lagras i PKCS#11-token har lagts till ssh- och ssh-agentverktygen.\n
Inst\u00e4llningen RefuseConnection har lagts till i ssh_config, vilket inneb\u00e4r att processens arbete avslutas med ett felmeddelande utan att f\u00f6rs\u00f6ka etablera en anslutning n\u00e4r den aktiva sektionen hanteras. Matcha v\u00e4rd foo RefuseConnection \"v\u00e4rd foo anv\u00e4nds inte l\u00e4ngre, anslut till v\u00e4rd bar\"\n
Till ssh och sshd har signalhandlaren SIGINFO lagts till f\u00f6r att logga information om sessionen och den aktiva kanalen.\n
I sshd, om anv\u00e4ndarens autentisering via certifikat avsl\u00e5s, loggas inte bara orsaken till blockeringen utan \u00e4ven omfattande information f\u00f6r att identifiera det problematiska certifikatet.\n
I sshd har kontroll av X11-displaynumret lagts till, i f\u00f6rh\u00e5llande till f\u00f6rskjutningen angiven i direktivet X11DisplayOffset.\n
Funktioner f\u00f6r prestandam\u00e4tning har lagts till i enhetstestsviten, aktiverade vid k\u00f6rning av \"make UNITTEST_BENCHMARK=yes\" i OpenBSD eller \"make unit-bench\" i andra system. <\/ul>\n
\u00c4ndringar som potentiellt bryter mot bak\u00e5tkompatibilitet: <\/p>\n
\n
I ssh har ett varningsmeddelande lagts till vid anv\u00e4ndning av en s\u00e5rbar nyckelavtal algoritm vid anslutning, som \u00e4r k\u00e4nslig f\u00f6r kvantdatorattacker. Varningen har lagts till p\u00e5 grund av risken f\u00f6r attacker i framtiden, med hj\u00e4lp av tidigare sparade trafikdumpningar. F\u00f6r att st\u00e4nga av varningen har alternativet WarnWeakCrypto lagts till i ssh_config. Matcha v\u00e4rd unsafe.example.com WarnWeakCrypto no\n
I ssh och sshd har behandlingen av parameterar f\u00f6r tj\u00e4nstekvalitet (DSCP, IPQoS) \u00e4ndrats avsev\u00e4rt. F\u00f6r interaktiv trafik s\u00e4tts nu klassen EF (Expedited Forwarding) som standard f\u00f6r att prioriteras i tr\u00e5dl\u00f6sa n\u00e4tverk. F\u00f6r icke-interaktiv trafik anv\u00e4nds standardklassen som operativsystemet angivit. Trafikklass kan \u00e4ndras med inst\u00e4llningen IPQoS i ssh_config och sshd_config. ToS-parametrar (type-of-service) f\u00f6r IPv4 i direktivet IPQoS har f\u00f6rklarats som f\u00f6r\u00e5ldrade (DSCP har ersatt ToS).\n
I ssh-add, n\u00e4r en certifikat l\u00e4ggs till i ssh-agent, har tiden f\u00f6r certifikatets livsl\u00e4ngd satts till fem minuter l\u00e4ngre \u00e4n certifikatets giltighetsperiod (f\u00f6r att automatiskt ta bort det utg\u00e5ende certifikatet). F\u00f6r att st\u00e4nga av detta beteende har alternativet \"-N\" lagts till i ssh-add.\n
St\u00f6det f\u00f6r XMSS-nycklar har tagits bort, d\u00e5 det klassades som experimentellt och aldrig aktiverats som standard.\n
Unix-socketar som skapas av ssh-agent och sshd har flyttats fr\u00e5n katalogen \/tmp till ~\/.ssh\/agent, vilket garanterar att de inte kan n\u00e5s fr\u00e5n isolerade processer med begr\u00e4nsad filsystem\u00e5tkomst, men \u00f6ppen \u00e5tkomst till \/tmp. <\/ul>\n