Portable OpenSSH 10.6p2 გამოვიდა უსაფრთხოების დროებითი გადაწყვეტითა და შეცდომების გასწორებით

Portable OpenSSH 10.6p2 2026 წლის 5 ნოემბერს გამოვიდა და პროექტის სარკეებიდან იქნება ხელმისაწვდომი. მასშია კრიტიკული უსაფრთხოების დროებითი გადაწყვეტა ზოგიერთ Linux სისტემაზე პაროლით აუთენტიფიკაციის გვერდის ავლისთვის, ასევე შეცდომებისა და პორტაბილობის გასწორებები. OpenSSH SSH 2.0 პროტოკოლის სრული იმპლემენტაციაა sftp კლიენტისა და სერვერის მხარდაჭერით.

უსაფრთხოების დროებითი გადაწყვეტა

ეს გამოშვება შეიცავს კრიტიკულ უსაფრთხოების დროებით გადაწყვეტას Linux სისტემებისთვის, სადაც musl libc გამოიყენება და PAM გამორთულია. ის თავიდან აიცილებს პაროლით აუთენტიფიკაციის გვერდის ავლას, რომლის ექსპლუატაციაც sshd(8) პროგრამის მეშვეობით შესაძლებელია ზოგიერთ Linux სისტემაზე PAM-ის მხარდაჭერის გამორთვით. OpenSSH-ის გუნდი ძირეულ მიზეზს sshd-ის გარეთ თვლის, მაგრამ ამბობს, რომ ექსპლუატაცია sshd(8) პროგრამით შესაძლებელია და იქ შეიძლება მისი აცილება. შეცდომა შეატყობინა Wakefield-ის (wakefield.co) Özgün Kültekin-მა.

შეცდომების გასწორება და პორტაბილობა

sshd(8) და ssh(1) ახლა ssh-mldsa44-ed25519 პოსტკვანტურ ჰიბრიდულ ხელმოწერის სქემას დაშვებულ CA ხელმოწერის ალგორითმად რთავს. ssh(1) და sshd(8) ასევე ასწორებს CPU-ის ერთ წამზე ნაკლები ხნით ტრიალს ChannelTimeout პარამეტრის გამოყენებისას. გამოშვება ასწორებს კომპილაციას ძველ პლატფორმებზე SKIP_PRIVDROP პარამეტრით, აუმჯობესებს აზერბაიჯანული ლოკალების ამოცნობას და ასწორებს agent socket-ების შექმნას openat(2) სისტემური გამოძახების გარეშე პლატფორმებზე. ასევე ასწორებს უცნაურ ქცევას ssh(1), ssh-add(1) და ssh-keygen(1) პროგრამებში SIGINT ან SIGQUIT სიგნალის მიღებისას პაროლის ფრაზის კითხვის დროს და ნებას რთავს restart_syscall(2) სისტემურ გამოძახებას seccomp sandbox-ში (bz4036).

მოძველების შეტყობინებები

scp(1) -R ფლაგს მოძველებულად აცხადებს; ის დისტანციური ჰოსტიდან დისტანციურ ჰოსტზე კოპირებას ემსახურება scp(1) ბრძანების დისტანციურ ჰოსტზე გაშვებით. ოფცია OpenSSH 10.6-ში ჯერ კიდევ მუშაობს, მაგრამ სტანდარტულ შეცდომების ნაკადში მოძველების გაფრთხილებას გამოსცემს; მომავალ გამოშვებაში იგნორირებული იქნება და დარჩება ნაგულისხმევი კოპირება scp(1) ბრძანების გამშვები ჰოსტის მეშვეობით. ცალკე, მომავალში მოიხსნება მხარდაჭერა პლატფორმებისთვის, რომლებიც ფაილის დესკრიპტორების გადაცემას არ უშვებენ და PTY-ის გამოყოფისთვის root-ის პრივილეგიას მოითხოვენ. ცნობილ დაზარალებულებს შორისაა SCO OpenServer 5 და QNX 6; მოძველების თავიდან აცილება შესაძლებელია, თუ ამ პლატფორმების საზოგადოებები დაეხმარებიან ალტერნატივების შექმნას, მაგალითად PTY-ის გამოყოფისას root-ის საჭიროების აცილებას.

AI-ის მოხსენებები, გამოშვების რიტმი, საზოგადოება და საკონტროლო ჯამები

OpenSSH-ის გუნდი ამბობს, რომ ბოლო დროს ბევრი უსაფრთხოების ხარვეზის შეტყობინება მიიღო, ბევრი AI-ის მოდელებისგან ან AI-ის დახმარებით. ბევრ AI-ის მოხსენებას რეალისტურ საფრთხის მოდელში უსაფრთხოებაზე გავლენა არ აქვს, მაგრამ გუნდი მათ მიესალმება, განსაკუთრებით ადამიანის ტრიაჟით, ანალიზით, ტესტებითა და გასწორების წინადადებებით. გუნდმა ასევე ნახა, რომ AI-ით ნაპოვნი ხარვეზები მოგვიანებით სხვა მკვლევარმა დამოუკიდებლად აღმოაჩინა, რაც ნიშნავს, რომ მოწინააღმდეგეებმაც, რომლებიც ხარვეზებს ღია პროექტებს არ აცნობენ, შეიძლება მათი აღმოჩენა შეძლონ. ახლა გუნდი უფრო ხშირად გამოუშვებს, რათა გასწორებები მომხმარებლებს უფრო სწრაფად მიუვიდეს, ნაცვლად მათი დაგროვებისა მომდევნო დაგეგმილ გამოშვებამდე. გუნდმა მადლობა გადაუხადა საზოგადოებას, განსაკუთრებით კოდისა და პატჩების ავტორებს, ხარვეზების მომხსენებლებს, snapshot-ტესტერებსა და დონორებს; დონაციების შესახებ ინფორმაცია პროექტის საიტზეა. გამოშვებაშია SHA1 (openssh-10.6p2.tar.gz) = c91a0b7860c80f29db874044af4d1a6f906231d9 და SHA256 (openssh-10.6p2.tar.gz) = muRIcgkM8vBrPPn/FH5/FvMJZxNAdj7S+ZJIOYrinVs=. SHA256 საკონტროლო ჯამი base64-ითაა კოდირებული და არა თექვსმეტობით. გამოშვებების ხელმოწერის PGP გასაღები სარკეებზეა. უსაფრთხოების ხარვეზები პირდაპირ უნდა შეტყობინდეს [email protected]ზე.

წყაროები: OpenSSH · Mastodon · Lobsters