Portable OpenSSH 10.6p2 שוחרר עם פתרון זמני לבעיית אבטחה ותיקוני באגים
Portable OpenSSH 10.6p2, שפורסם ב-5 בנובמבר 2026, מוסיף פתרון זמני קריטי לבעיית אבטחה לעקיפת אימות סיסמה במערכות Linux מסוימות, וכן תיקוני באגים ותיקוני ניידות. השחרור זמין מהמראות של הפרויקט.
Portable OpenSSH 10.6p2 שוחרר ב-5 בנובמבר 2026, ויהיה זמין מהמראות של הפרויקט. השחרור כולל פתרון זמני קריטי לבעיית אבטחה לעקיפת אימות סיסמה במערכות Linux מסוימות, יחד עם תיקוני באגים ותיקוני ניידות. OpenSSH הוא מימוש שלם של פרוטוקול SSH 2.0 הכולל תמיכה בלקוח ובשרת sftp.
פתרון זמני לבעיית אבטחה
השחרור הזה כולל פתרון זמני קריטי לבעיית אבטחה שמשפיע על מערכות Linux שמשתמשות ב-musl libc ועם PAM מושבת. הוא מונע עקיפת אימות סיסמה שניתנת לניצול דרך sshd(8) במערכות Linux מסוימות שנבנו והורצו עם תמיכת PAM מושבתת. צוות OpenSSH סבור שסיבת השורש נמצאת מחוץ ל-sshd, אך אומר שהוא ניתן לניצול דרך sshd וניתן להימנע ממנו שם. הבאג דווח על ידי Özgün Kültekin מ-Wakefield (wakefield.co).
תיקוני באגים וניידות
sshd(8) ו-ssh(1) מפעילים כעת את סכמת החתימה הפוסט-קוונטית hybris בשם ssh-mldsa44-ed25519 כאלגוריתם חתימת CA מותר. ssh(1) ו-sshd(8) מתקנים גם סחרור CPU של פחות משנייה כאשר ChannelTimeout היה בשימוש. השחרור מתקן הידור בפלטפורמות ישנות יותר שמגדירות SKIP_PRIVDROP, משפר זיהוי של לוקאלים אזרבייג'ניים, ומתקן יצירת סוקטים של סוכן בפלטפורמות ללא קריאת המערכת openat(2). הוא מתקן גם התנהגות מוזרה ב-ssh(1), ב-ssh-add(1) וב-ssh-keygen(1) כאשר SIGINT או SIGQUIT מתקבלים בזמן קריאת ביטוי סיסמה, ומאפשר restart_syscall(2) בארגז החול seccomp (bz4036).
הודעות התיישנות
scp(1) מתחיל להכריז על דגל -R כדפרקציה, דגל המשמש להעתקה ממרוחק למרוחק על ידי הרצת scp במארח מרוחק. האפשרות נשארת פעילה מ-OpenSSH 10.6 אך פולטת אזהרת דפרקציה לשגיאה תקנית; בשחרור עתידי היא תתעלם, ותישאר התנהגות ברירת המחדל של העתקה ממרוחק למרוחק באמצעות המארח שמריץ scp. בנפרד, תמיכה בפלטפורמות שאינן מאפשרות העברת מתארי קבצים וגם דורשות הרשאת root להקצאת PTY תוסר בשחרור עתידי. פלטפורמות מושפעות ידועות כוללות SCO OpenServer 5 ו-QNX 6, והדפרקציה עשויה להימנע אם קהילות הפלטפורמות המושפעות יעזרו לבנות חלופות כגון הימנעות מהצורך ב-root בהקצאת PTY.
דוחות AI, קצב שחרורים, קהילה וסכומי בדיקה
צוות OpenSSH אומר שקיבל לאחרונה דוחות רבים על באגי אבטחה, רבים ממודלי AI או שנעשו בעזרת AI. רבים מדוחות ה-AI נקבעים ככאלה שאין להם השפעה אבטחתית במודל איומים מציאותי, אך הצוות מברך עליהם, במיוחד עם מיון אנושי, ניתוח, מקרי בדיקה ותיקונים מוצעים. הצוות ראה באגי אבטחה שזוהו על ידי כלי AI והתגלו מאוחר יותר באופן בלתי תלוי על ידי חוקר אחר, מה שמרמז שיריבים שאינם מדווחים על באגים לפרויקטי קוד פתוח עשויים גם הם לגלות אותם. לעת עתה, הצוות יבצע שחרורים תכופים יותר כדי להעביר תיקוני באגים למשתמשים מהר יותר, במקום לצבור אותם עד לשחרור המתוכנן הבא. הצוות הודה לקהילה, במיוחד לתורמי קוד או טלאים, למדווחי באגים, לבודקי תמונות מצב ולתורמים כספיים; מידע נוסף על תרומות זמין מהפרויקט. השחרור מפרט SHA1 (openssh-10.6p2.tar.gz) = c91a0b7860c80f29db874044af4d1a6f906231d9 ו-SHA256 (openssh-10.6p2.tar.gz) = muRIcgkM8vBrPPn/FH5/FvMJZxNAdj7S+ZJIOYrinVs=. סכום הבדיקה SHA256 מקודד ב-base64 ולא בהקסדצימלי. מפתח ה-PGP המשמש לחתימה על שחרורים זמין מאתרי מראה. יש לדווח על באגי אבטחה ישירות ל[email protected].
SiTech — פיתוח אתרים בכוח ה-AI
אנחנו בונים אתרים מהירים ומודרניים ומשלבים AI בתהליכי עבודה אמיתיים. יש לכם פרויקט או שאלה? נשמח לעזור.