Portable OpenSSH 10.6p2 թողարկվել է անվտանգության ժամանակավոր լուծումով և սխալների շտկումներով

Portable OpenSSH 10.6p2 թողարկվել է 2026 թվականի նոյեմբերի 5-ին և հասանելի կլինի նախագծի հայելիներից։ Թողարկումը պարունակում է կրիտիկական անվտանգության ժամանակավոր լուծում որոշ Linux համակարգերում գաղտնաբառով նույնականացման շրջանցումը կանխելու համար, ինչպես նաև սխալների շտկումներ և փոխադրելիության շտկումներ։ OpenSSH-ը SSH 2.0 արձանագրության ամբողջական իրականացում է, որը ներառում է sftp հաճախորդի և սերվերի աջակցություն։

Անվտանգության ժամանակավոր լուծում

Այս թողարկումը պարունակում է կրիտիկական անվտանգության ժամանակավոր լուծում, որը վերաբերում է musl libc օգտագործող և PAM անջատած Linux համակարգերին։ Այն կանխում է գաղտնաբառով նույնականացման շրջանցումը, որը շահագործելի է sshd(8) ծառայության միջոցով որոշ Linux համակարգերում, որոնք կառուցված և աշխատում են PAM աջակցությունը անջատած վիճակում։ OpenSSH թիմը կարծում է, որ արմատային պատճառը sshd ծառայությունից դուրս է, բայց ասում է, որ այն շահագործելի է sshd ծառայության միջոցով և այնտեղ կարելի է խուսափել։ Սխալը հայտնել է Özgün Kültekin-ը՝ Wakefield ընկերությունից (wakefield.co)։

Սխալների շտկումներ և փոխադրելիություն

sshd(8) և ssh(1) այժմ միացնում են հետքվանտային hybris ստորագրման սխեման ssh-mldsa44-ed25519՝ որպես թույլատրված CA ստորագրման ալգորիթմ։ ssh(1) և sshd(8) նաև շտկում են պրոցեսորի մեկ վայրկյանից պակաս տևող պտույտը, երբ օգտագործվում էր ChannelTimeout։ Թողարկումը շտկում է կոմպիլյացիան հին հարթակներում, որոնք սահմանում են SKIP_PRIVDROP, բարելավում է ադրբեջանական լոկալների հայտնաբերումը և շտկում է գործակալի սոկետների ստեղծումը առանց openat(2) համակարգային կանչի հարթակներում։ Այն նաև շտկում է տարօրինակ վարքը ssh(1), ssh-add(1) և ssh-keygen(1) հրամաններում, երբ SIGINT կամ SIGQUIT է ստացվում գաղտնաբառ կարդալիս, և թույլ է տալիս restart_syscall(2) seccomp sandbox միջավայրում (bz4036)։

Հնացման ծանուցումներ

scp(1) սկսում է հնացնել -R դրոշը, որը օգտագործվում է հեռակա հոսթի վրա scp կատարելով հեռակա հոսթից հեռակա հոսթ պատճենման համար։ Տարբերակը մնում է գործող OpenSSH 10.6 տարբերակից սկսած, բայց ստանդարտ սխալ հոսքին արտածում է հնացման զգուշացում; ապագա թողարկումում այն կանտեսվի, և կմնա լռելյայն հեռակա հոսթից հեռակա հոսթ պատճենման վարքը՝ պատճենում scp կատարող հոսթի միջոցով։ Առանձին, հարթակների աջակցությունը, որոնք թույլ չեն տալիս ֆայլային դեսկրիպտորների փոխանցում և նաև պահանջում են root արտոնություն PTY հատկացման համար, կհեռացվի ապագա թողարկումում։ Հայտնի ազդված հարթակների թվում են SCO OpenServer 5 և QNX 6, և հնացումը կարող է խուսափվել, եթե ազդված հարթակների համայնքները օգնեն կառուցել այլընտրանքներ, օրինակ՝ խուսափել root արտոնության անհրաժեշտությունից PTY հատկացման համար։

AI զեկուցումներ, թողարկման հաճախականություն, համայնք և ստուգիչ գումարներ

OpenSSH թիմն ասում է, որ վերջերս ստացել է բազմաթիվ անվտանգության սխալների զեկուցումներ, որոնցից շատերը գալիս են AI մոդելներից կամ կատարվել են AI օգնությամբ։ AI զեկուցումներից շատերը որոշվում են որպես անվտանգության ազդեցություն չունեցող իրատեսական սպառնալիքի մոդելում, բայց թիմը ողջունում է դրանք, հատկապես մարդկային տրիաժով, վերլուծությամբ, փորձարկման դեպքերով և առաջարկված շտկումներով։ Թիմը տեսել է, որ AI գործիքներով բացահայտված անվտանգության սխալները հետագայում անկախ կերպով հայտնաբերվել են մեկ այլ հետազոտողի կողմից, ինչը ենթադրում է, որ բաց կոդով նախագծերին սխալներ չհայտնող հակառակորդները նույնպես կարող են դրանք հայտնաբերել։ Այժմ թիմը կանի ավելի հաճախակի թողարկումներ՝ սխալների շտկումները օգտատերերին ավելի արագ հասցնելու համար, այլ ոչ թե դրանք կուտակելու մինչև հաջորդ պլանավորված թողարկումը։ Թիմը շնորհակալություն հայտնեց համայնքին, հատկապես կոդի կամ կարկատների ներդրողներին, սխալներ հայտնողներին, սնապշոթ փորձարկողներին և նվիրատուներին. նվիրատվությունների մասին ավելի շատ տեղեկություն հասանելի է նախագծից։ Թողարկումը նշում է SHA1 (openssh-10.6p2.tar.gz) = c91a0b7860c80f29db874044af4d1a6f906231d9 և SHA256 (openssh-10.6p2.tar.gz) = muRIcgkM8vBrPPn/FH5/FvMJZxNAdj7S+ZJIOYrinVs=։ SHA256 ստուգիչ գումարը կոդավորված է base64 ձևաչափով, այլ ոչ թե տասնվեցական։ Թողարկումները ստորագրելու համար օգտագործվող PGP բանալին հասանելի է հայելի կայքերից։ Անվտանգության սխալները պետք է ուղղակիորեն հայտնել [email protected] հասցեին։

Աղբյուրներ: OpenSSH · Mastodon · Lobsters