OpenSSH 9.2 prichádza s opravou 3 zraniteľností a s niekoľkými vylepšeniami

Spustenie nová verzia otvorenej implementácie klienta a servera pre prácu s protokolmi SSH 2.0 a SFTP, "OpenSSH 9.2".

Nová verzia opravuje zraniteľnosť, čo vedie k dvojitému uvoľneniu pamäťovej oblasti v štádiu pred autentifikáciou. zraniteľnosť ovplyvňuje iba vydanie OpenSSH 9.1, v predchádzajúcich verziách sa problém nezobrazuje.

Na vytvorenie podmienok pre prejav zraniteľnosti stačí zmeniť banner klienta SSH na „SSH-2.0-FuTTYSH_9.1p1“, aby sa dosiahla konfigurácia príznakov „SSH_BUG_CURVE25519PAD“ a „SSH_OLD_DHGEX“, v závislosti od verzie. klienta SSH.

Po nastavení týchto príznakov sa pamäť pre vyrovnávaciu pamäť "options.kex_algorithms" uvoľní dvakrát: spustením funkcie do_ssh2_kex(), ktorá volá compat_kex_proposal(), a spustením funkcie do_authentication2(), ktorá zavolá input_userauth_request(), mm_getpwnamallow ), copy_set_server_options() pozdĺž reťazca, ensemble_algorithms() a kex_assemble_names().

Považuje sa za nepravdepodobné, že by sa vytvoril funkčný exploit pre túto zraniteľnosť, pretože proces využívania je príliš komplikovaný: moderné knižnice na prideľovanie pamäte poskytujú ochranu pred dvojitým uvoľnením pamäte a proces predbežnej autentifikácie, v ktorom sa vyskytuje chyba, prebieha so zníženými privilégiami v karanténe.

Okrem spomínanej zraniteľnosti nová verzia opravuje aj ďalšie dva bezpečnostné problémy:

• Pri spracovaní nastavenia „PermitRemoteOpen“ sa vyskytla chyba, ktorá spôsobila, že prvý argument bol ignorovaný, ak sa líši od hodnôt „any“ a „none“. Problém sa objavuje vo verziách po OpenSSH 8.7 a spôsobuje preskočenie kontroly, keď je zadané iba jedno povolenie.
• Útočník ovládajúci server DNS používaný na preklad názvov môže dosiahnuť nahradenie špeciálnych znakov (napríklad „*“) v súboroch známych hostiteľov, ak sú v konfigurácii povolené možnosti CanonicalizeHostname a CanonicalizePermittedCNAMEs a prekladač neoveruje opravu DNS. odpovede servera. Útok sa považuje za nepravdepodobný, pretože vrátené mená musia zodpovedať podmienkam špecifikovaným prostredníctvom CanonicalizePermittedCNAME.

Čo je nové v OpenSSH 9.2

Zo zmien, ktoré boli vykonané v OpenSSH 9.2, vyniká, že pridal konfiguráciuna EnableEscapeCommandline a ssh_config na kontrolu spracovania na strane klienta sekvencie escape "~C" vždy, keď je povolený príkazový riadok. V predvolenom nastavení je spracovanie "~C" vypnuté umožniť prísnejšie sandboxing, ktorý by mohol narušiť systémy, ktoré používajú "~C" na presmerovanie portov za behu

Bolo to pridaná direktíva ChannelTimeout do sshd_config pre sshd na nastavenie časového limitu nečinnosti kanála (Kanály, na ktorých nebola zistená žiadna návštevnosť počas doby špecifikovanej v politike, budú automaticky zatvorené.) Prevádzka relácie, X11, agenta a presmerovania môže mať rôzne časové limity.

Z iné zmeny:

• Do sshd_config pre sshd bola pridaná direktíva UnusedConnectionTimeout, ktorá vám umožňuje nastaviť časový limit na ukončenie pripojení od klientov, ktorí počas určitého času nemali žiadne aktívne kanály.
• Do sshd bola pridaná možnosť „-V“, aby sa zobrazila verzia podobná možnosti klienta ssh.
• Pridaný reťazec "host" do výstupu "ssh -G", aby odrážal hodnotu argumentu hostname.
• Pridaná možnosť "-X" do scp a sftp na ovládanie parametrov SFTP, ako je veľkosť vyrovnávacej pamäte kopírovania a počet čakajúcich požiadaviek.
• ssh-keyscan vám umožňuje skenovať celý rozsah adries CIDR, napríklad „ssh-keyscan 192.168.0.0/24“.

Konečne ak máte záujem dozvedieť sa o tom viac o tejto novej verzii, môžete skontrolovať podrobnosti prechodom na nasledujúci odkaz.

Ako nainštalovať OpenSSH 9.2 na Linuxe?

Pre tých, ktorí majú záujem o inštaláciu tejto novej verzie OpenSSH do svojich systémov, zatiaľ to môžu robiť stiahnutie zdrojového kódu tohto a na svojich počítačoch.

Je to preto, že nová verzia ešte nebola zahrnutá do úložísk hlavných distribúcií Linuxu. Zdrojový kód môžete získať z adresy nasledujúci odkaz.

Ukončiť sťahovanie, teraz rozbalíme balíček nasledujúcim príkazom:

tar -xvf openssh-9.2.tar.gz

Zadáme vytvorený adresár:

cd openssh-9.2

Y môžeme zostaviť s nasledujúce príkazy:

./configure --prefix=/opt --sysconfdir=/etc/ssh
make
make install