OpenSSH היא קבוצה של יישומים המאפשרים תקשורת מוצפנת על גבי רשת, תוך שימוש בפרוטוקול SSH.
ההשקה של הגרסה החדשה של ההטמעה הפתוחה של לקוח ושרת לעבודה עם פרוטוקולי SSH 2.0 ו-SFTP, "OpenSSH 9.2".
הגרסה החדשה מתקן פגיעות, מה שמוביל לשחרור כפול של אזור זיכרון בשלב הטרום אימות. פגיעות משפיע רק על המהדורה של OpenSSH 9.1, בגרסאות קודמות הבעיה לא מופיעה.
כדי ליצור תנאים לביטוי של פגיעות, די לשנות את הבאנר של לקוח SSH ל-"SSH-2.0-FuTTYSH_9.1p1" כדי להשיג את התצורה של הדגלים "SSH_BUG_CURVE25519PAD" ו-"SSH_OLD_DHGEX", בהתאם לגרסה של לקוח SSH.
לאחר הגדרת הדגלים הללו, הזיכרון עבור המאגר "options.kex_algorithms" מתפנה פעמיים: על ידי ביצוע הפונקציה do_ssh2_kex() הקוראת compat_kex_proposal(), ועל ידי ביצוע הפונקציה do_authentication2() הקוראת input_userauth_request( ), mm_getpwnamallow(pwnamallow ), copy_set_server_options() לאורך השרשרת, ensemble_algorithms() ו-kex_assemble_names().
זה נחשב לא סביר ליצור ניצול עובד עבור הפגיעות, מאחר שתהליך הניצול מסובך מדי: ספריות הקצאת זיכרון מודרניות מספקות הגנה מפני שחרור כפול של זיכרון, ותהליך האימות המקדים, שבו יש באג, פועל עם הרשאות מופחתות בארגז חול.
בנוסף לפגיעות המוזכרת, הגרסה החדשה מתקן גם שתי בעיות אבטחה נוספות:
- אירעה שגיאה במהלך עיבוד ההגדרה "PermitRemoteOpen", מה שגרם להתעלמות מהארגומנט הראשון אם הוא שונה מהערכים "any" ו-"none". הבעיה מופיעה בגרסאות לאחר OpenSSH 8.7 וגורמת לדילוג על הסימון כאשר צוינה רק הרשאה אחת.
- תוקף השולט בשרת ה-DNS המשמש לפתרון שמות יכול להשיג החלפה של תווים מיוחדים (לדוגמה, "*") בקבצי מארח ידועים אם האפשרויות CanonicalizeHostname ו-CanonicalizePermittedCNAMEs מופעלות בתצורה והפותר אינו מאמת את תיקון ה-DNS תגובות שרת. ההתקפה נחשבת לא צפויה להצליח מכיוון שהשמות המוחזרים חייבים להתאים לתנאים שצוינו דרך CanonicalizePermittedCNAME.
מה חדש ב-OpenSSH 9.2
מבין השינויים שבוצעו ב-OpenSSH 9.2 בולט כי הוסיף תצורהón EnableEscapeCommandline a ssh_config כדי לשלוט אם עיבוד בצד הלקוח של רצף הבריחה "~C" בכל פעם ששורת הפקודה מופעלת. כברירת מחדל, עיבוד "~C" מושבת כעת כדי לאפשר ארגז חול מחמיר, שעלול לשבור מערכות המשתמשות ב-"~C" להעברת יציאות בזמן ריצה
זה היה הוספה הוראת ChannelTimeout ל-sshd_config עבור sshd כדי להגדיר את פסק הזמן של ערוץ סרק (ערוצים שלא זוהתה בהם תנועה במשך הזמן המצוין במדיניות ייסגרו אוטומטית). תעבורת הפעלה, X11, סוכן והפניה מחדש יכולה להיות בעלת פסקי זמן שונים.
של שינויים אחרים:
- נוספה הנחיית UnusedConnectionTimeout ל-sshd_config עבור sshd, המאפשרת לך להגדיר פסק זמן לסיום חיבורים מלקוחות שלא היו להם ערוצים פעילים במשך פרק זמן מסוים.
- הוספה את האפשרות "-V" ל-sshd כדי להציג גרסה דומה לאפשרות הלקוח ssh.
- הוספה את המחרוזת "host" לפלט של "ssh -G" כדי לשקף את הערך של הארגומנט של שם המארח.
- הוספה את האפשרות "-X" ל-scp ו-sftp כדי לשלוט בפרמטרים של SFTP כגון גודל מאגר העתקה ומספר הבקשות הממתינות.
- ssh-keyscan מאפשר לך לסרוק טווחים שלמים של כתובות CIDR, למשל, "ssh-keyscan 192.168.0.0/24".
בסופו של דבר אם אתה מעוניין לדעת יותר על כך לגבי הגרסה החדשה הזו, תוכלו לבדוק את הפרטים על ידי מעבר לקישור הבא.
כיצד להתקין את OpenSSH 9.2 על לינוקס?
למי שמעוניין להיות מסוגל להתקין גרסה חדשה זו של OpenSSH על מערכותיהם, בינתיים הם יכולים לעשות את זה הורדת קוד המקור של זה ו - ביצוע האוסף במחשבים שלהם.
הסיבה לכך היא שהגרסה החדשה עדיין לא נכללה במאגרים של הפצות הלינוקס העיקריות. כדי לקבל את קוד המקור, תוכל לעשות זאת באמצעות הקישור הבא.
בוצע ההורדה, עכשיו אנחנו הולכים לפתוח את החבילה עם הפקודה הבאה:
tar -xvf openssh-9.2.tar.gz
אנו נכנסים לספרייה שנוצרה:
cd openssh-9.2
Y אנחנו יכולים לקמפל עם הפקודות הבאות:
./configure --prefix=/opt --sysconfdir=/etc/ssh make make install
"עַל רֶגֶל אַחַת?"…
ובכן, אני כן מוציא אותם, היי.
תודה שצפית.