Dumating ang OpenSSH 9.2 na nagwawasto sa 3 mga kahinaan at may ilang mga pagpapabuti

Ang paglulunsad ng ang bagong bersyon ng bukas na pagpapatupad ng kliyente at server upang gumana sa mga protocol ng SSH 2.0 at SFTP, "OpenSSH 9.2".

Ang bagong bersyon inaayos ang isang kahinaan, na humahantong sa dobleng pagpapalaya ng isang lugar ng memorya sa yugto ng pre-authentication. kahinaan nakakaapekto lamang sa paglabas ng OpenSSH 9.1, sa mga nakaraang bersyon ang problema ay hindi lilitaw.

Upang lumikha ng mga kondisyon para sa pagpapakita ng isang kahinaan, sapat na baguhin ang banner ng SSH client sa "SSH-2.0-FuTTYSH_9.1p1" upang makamit ang configuration ng mga flag na "SSH_BUG_CURVE25519PAD" at "SSH_OLD_DHGEX", depende sa bersyon ng SSH client.

Pagkatapos itakda ang mga flag na ito, ang memorya para sa buffer na "options.kex_algorithms" ay pinalaya ng dalawang beses: sa pamamagitan ng pagsasagawa ng do_ssh2_kex() function, na tumatawag sa compat_kex_proposal(), at sa pamamagitan ng pag-execute ng do_authentication2() function, na tumatawag sa input_userauth_request( ), mm_getpwnamallow(getpwnamallow(). ), copy_set_server_options() kasama ang chain, ensemble_algorithms() at kex_assemble_names().

Itinuturing na hindi malamang na lumikha ng isang gumaganang pagsasamantala para sa kahinaan, dahil ang proseso ng pagsasamantala ay masyadong kumplikado: ang modernong memory allocation library ay nagbibigay ng proteksyon laban sa dobleng pagpapalaya ng memorya, at ang proseso ng pre-authentication, kung saan mayroong isang bug, ay tumatakbo nang may pinababang mga pribilehiyo sa isang sandbox.

Bilang karagdagan sa nabanggit na kahinaan, ang bagong bersyon inaayos din ang dalawa pang isyu sa seguridad:

• May naganap na error habang pinoproseso ang setting na "PermitRemoteOpen", na naging sanhi ng pagbalewala sa unang argumento kung iba ito sa mga value na "any" at "none". Lumilitaw ang isyu sa mga bersyon pagkatapos ng OpenSSH 8.7 at nagiging sanhi ng paglaktaw ng tseke kapag isang pahintulot lang ang tinukoy.
• Ang isang attacker na kumokontrol sa DNS server na ginamit upang lutasin ang mga pangalan ay maaaring makamit ang pagpapalit ng mga espesyal na character (halimbawa, "*") sa mga kilalang host file kung ang CanonicalizeHostname at CanonicalizePermittedCNAMEs na mga opsyon ay pinagana sa configuration at ang resolver ay hindi na-verify ang pagwawasto ng DNS mga tugon ng server. Ang pag-atake ay itinuturing na malamang na hindi magtagumpay dahil ang mga ibinalik na pangalan ay dapat tumugma sa mga kundisyon na tinukoy sa pamamagitan ng CanonicalizePermittedCNAME.

Ano ang bago sa OpenSSH 9.2

Sa mga pagbabagong ginawa sa OpenSSH 9.2 ito ay namumukod-tangi nagdagdag ng configurationsa EnableEscapeCommandline a ssh_config upang kontrolin kung ang client-side processing ng "~C" escape sequence sa tuwing pinapagana ang command line. Bilang default, naka-disable na ngayon ang pagpoproseso ng "~C". upang payagan ang mas mahigpit na sandboxing, na maaaring masira ang mga system na gumagamit ng "~C" para sa port forwarding sa runtime

Ito ay naging idinagdag ang direktiba ng ChannelTimeout sa sshd_config para itakda ng sshd ang channel na idle timeout (Ang mga channel kung saan walang nakitang trapiko para sa oras na tinukoy sa patakaran ay awtomatikong isasara.) Maaaring magkaroon ng magkakaibang timeout ang trapiko ng session, X11, ahente, at pag-redirect.

Ng iba pang pagbabago:

• Nagdagdag ng isang UnusedConnectionTimeout na direktiba sa sshd_config para sa sshd, na nagbibigay-daan sa iyong magtakda ng timeout para sa pagwawakas ng mga koneksyon mula sa mga kliyente na walang aktibong channel para sa isang tiyak na tagal ng panahon.
• Idinagdag ang opsyong "-V" sa sshd upang magpakita ng bersyon na katulad ng opsyon sa ssh client.
• Idinagdag ang string na "host" sa output ng "ssh -G" upang ipakita ang halaga ng argumento ng hostname.
• Idinagdag ang opsyong "-X" sa scp at sftp para makontrol ang mga parameter ng SFTP gaya ng laki ng buffer ng kopya at bilang ng mga nakabinbing kahilingan.
• Binibigyang-daan ka ng ssh-keyscan na i-scan ang buong hanay ng mga CIDR address, halimbawa, "ssh-keyscan 192.168.0.0/24".

Sa wakas kung interesado kang malaman ang tungkol dito tungkol sa bagong bersyon na ito, maaari mong suriin ang mga detalye sa pamamagitan ng pagpunta sa sumusunod na link.

Paano i-install ang OpenSSH 9.2 sa Linux?

Para sa mga interesadong ma-install ang bagong bersyon ng OpenSSH na ito sa kanilang mga system, sa ngayon kaya nila ito pagda-download ng source code ng ito at isinasagawa ang pagtitipon sa kanilang mga computer.

Ito ay dahil ang bagong bersyon ay hindi pa naisasama sa mga repository ng pangunahing pamamahagi ng Linux. Upang makuha ang source code, maaari mong gawin mula sa susunod na link.

Tapos na ang pag-download, ngayon ay ilalabas namin ang zip sa package gamit ang sumusunod na utos:

tar -xvf openssh-9.2.tar.gz

Ipinasok namin ang nilikha na direktoryo:

cd openssh-9.2

Y maaari tayong makipagsama ang mga sumusunod na utos:

./configure --prefix=/opt --sysconfdir=/etc/ssh
make
make install