Portable OpenSSH 10.6p2 випущено з обхідним рішенням безпеки та виправленнями

Portable OpenSSH 10.6p2 випущено 5 листопада 2026 року; буде доступний на дзеркалах проєкту. Реліз містить критичне обхідне рішення безпеки для обходу автентифікації за паролем на деяких Linux системах, а також виправлення помилок і переносності. OpenSSH є повною реалізацією SSH протоколу 2.0 з підтримкою клієнта та сервера sftp.

Обхідне рішення безпеки

Реліз містить критичне обхідне рішення для Linux систем з musl libc і вимкненим PAM. Воно запобігає обходу автентифікації за паролем через sshd(8) на деяких Linux системах, зібраних і запущених з вимкненою підтримкою PAM. Команда OpenSSH вважає першопричину поза sshd, але каже, що її можна експлуатувати через sshd і уникнути там. Помилку повідомив Özgün Kültekin з Wakefield (wakefield.co).

Виправлення помилок і переносність

sshd(8) і ssh(1) тепер дозволяють постквантову схему підписів hybris ssh-mldsa44-ed25519 як алгоритм підпису CA. ssh(1) і sshd(8) також виправляють обертання CPU менше однієї секунди при ChannelTimeout. Виправлено компіляцію на старіших платформах з SKIP_PRIVDROP, визначення азербайджанських локалей і створення сокетів агента без openat(2). Також виправлено дивну поведінку ssh(1), ssh-add(1), ssh-keygen(1) при SIGINT/SIGQUIT під час читання пароля і дозволено restart_syscall(2) у пісочниці seccomp (bz4036).

Повідомлення про застарівання

scp(1) починає застарювати прапорець -R для копіювання з віддаленого вузла на віддалений вузол через виконання scp на віддаленому вузлі. Параметр працює в OpenSSH 10.6, але виводить попередження в stderr; у майбутньому релізі його проігнорують, і залишиться типове копіювання через вузол, де запущено scp. Окремо, підтримку платформ без передавання файлових дескрипторів і з вимогою root для PTY буде видалено. Відомі: SCO OpenServer 5 і QNX 6. Застарівання можна уникнути, якщо спільноти створять альтернативи, наприклад без root для PTY.

Звіти ШІ, частота релізів, спільнота та контрольні суми

Команда OpenSSH отримала багато звітів про помилки безпеки, багато з ШІ. Багато з них не мають впливу в реалістичній моделі загроз, але команда вітає їх, особливо з ручним сортуванням, аналізом, тестами та виправленнями. Помилки, знайдені ШІ, пізніше незалежно виявляли інші дослідники; зловмисники без звітів теж можуть їх знайти. Команда робитиме частіші релізи, щоб швидше доставляти виправлення. Команда подякувала спільноті, учасникам коду/латок, тим, хто повідомляє помилки, тестувальникам знімків і донорам; інформація про пожертви в проєкті. Реліз наводить SHA1 (openssh-10.6p2.tar.gz) = c91a0b7860c80f29db874044af4d1a6f906231d9 і SHA256 (openssh-10.6p2.tar.gz) = muRIcgkM8vBrPPn/FH5/FvMJZxNAdj7S+ZJIOYrinVs=. SHA256 закодовано в base64, не hex. PGP ключ для підписування доступний на дзеркалах. Повідомляйте про помилки безпеки на [email protected].

Джерела: OpenSSH · Mastodon · Lobsters