OpenSSH 9.2 přichází opravující 3 zranitelnosti a s některými vylepšeními

Zahájení nová verze otevřené implementace klienta a serveru pro práci s protokoly SSH 2.0 a SFTP, "OpenSSH 9.2".

Nová verze opravuje zranitelnost, což vede k dvojitému uvolnění paměťové oblasti ve fázi před autentizací. zranitelnost ovlivňuje pouze vydání OpenSSH 9.1, v předchozích verzích se problém neobjevuje.

Pro vytvoření podmínek pro projev zranitelnosti stačí změnit banner klienta SSH na "SSH-2.0-FuTTYSH_9.1p1" pro dosažení konfigurace příznaků "SSH_BUG_CURVE25519PAD" a "SSH_OLD_DHGEX", v závislosti na verzi klienta SSH.

Po nastavení těchto příznaků se paměť pro vyrovnávací paměť "options.kex_algorithms" uvolní dvakrát: spuštěním funkce do_ssh2_kex(), která volá compat_kex_proposal(), a provedením funkce do_authentication2(), která zavolá input_userauth_request(), mm_getpwnamallow ), copy_set_server_options() podél řetězce, ensemble_algorithms() a kex_assemble_names().

Považuje se za nepravděpodobné, že by vytvořil funkční exploit pro zranitelnost, protože proces využívání je příliš komplikovaný: moderní knihovny pro alokaci paměti poskytují ochranu proti dvojímu uvolnění paměti a proces předběžné autentizace, ve kterém se vyskytuje chyba, běží s omezenými oprávněními v karanténě.

Kromě zmíněné zranitelnosti nová verze také opravuje další dva bezpečnostní problémy:

• Při zpracování nastavení „PermitRemoteOpen“ došlo k chybě, která způsobila, že první argument byl ignorován, pokud se liší od hodnot „any“ a „none“. Problém se objevuje ve verzích po OpenSSH 8.7 a způsobuje, že kontrola bude přeskočena, pokud je zadáno pouze jedno oprávnění.
• Útočník ovládající server DNS používaný k překladu názvů může dosáhnout nahrazení speciálních znaků (například „*“) v souborech známých hostitelů, pokud jsou v konfiguraci povoleny možnosti CanonicalizeHostname a CanonicalizePermittedCNAMEs a překladač neověřuje opravu DNS. odpovědi serveru. Útok se považuje za nepravděpodobný, protože vrácená jména musí odpovídat podmínkám zadaným prostřednictvím CanonicalizePermittedCNAME.

Co je nového v OpenSSH 9.2

Ze změn, které byly provedeny v OpenSSH 9.2, vyniká, že přidal konfiguracina EnableEscapeCommandline a ssh_config kontrolovat, zda zpracování na straně klienta sekvence escape "~C", kdykoli je povolen příkazový řádek. Ve výchozím nastavení je nyní zpracování "~C" zakázáno umožnit přísnější sandboxing, který by mohl narušit systémy, které používají "~C" pro přesměrování portů za běhu

má přidána direktiva ChannelTimeout na sshd_config pro sshd pro nastavení časového limitu nečinnosti kanálu (Kanály, na kterých nebyl zjištěn žádný provoz po dobu stanovenou v zásadách, budou automaticky uzavřeny.) Provoz relace, X11, agenta a přesměrování může mít různé časové limity.

Z další změny:

• Do sshd_config pro sshd byla přidána direktiva UnusedConnectionTimeout, která umožňuje nastavit časový limit pro ukončení připojení od klientů, kteří po určitou dobu neměli žádné aktivní kanály.
• Přidána možnost "-V" do sshd pro zobrazení verze podobné možnosti klienta ssh.
• Přidán řetězec "host" do výstupu "ssh -G", aby odrážel hodnotu argumentu hostname.
• Přidána možnost "-X" do scp a sftp pro ovládání parametrů SFTP, jako je velikost vyrovnávací paměti pro kopírování a počet nevyřízených požadavků.
• ssh-keyscan umožňuje skenovat celé rozsahy adres CIDR, například „ssh-keyscan 192.168.0.0/24“.

Konečně pokud máte zájem o tom vědět více o této nové verzi můžete zkontrolovat podrobnosti přechodem na následující odkaz.

Jak nainstalovat OpenSSH 9.2 na Linux?

Pro ty, kteří mají zájem o instalaci této nové verze OpenSSH do svých systémů, teď to mohou udělat stažení zdrojového kódu tohoto a provedení kompilace na svých počítačích.

Je to proto, že nová verze ještě nebyla zahrnuta do úložišť hlavních distribucí Linuxu. Chcete-li získat zdrojový kód, můžete to udělat z Následující odkaz.

Dokončete stahování, nyní rozbalíme balíček pomocí následujícího příkazu:

tar -xvf openssh-9.2.tar.gz

Vstupujeme do vytvořeného adresáře:

cd openssh-9.2

Y můžeme sestavit s následující příkazy:

./configure --prefix=/opt --sysconfdir=/etc/ssh
make
make install