OpenSSH 10.5

Основные изменения OpenSSH 10.5:

• Исправлена проблема в ssh-agent, связанная с блокировкой агента и расширением session-bind@openssh.com, используемым для идентификации перенаправленных агентов. Запросы привязки отклонялись заблокированным агентом, из-за чего некоторые операции, которые предполагалось разрешать только локально, могли выполняться удалённо. В частности, это позволяло добавлять токены PKCS#11 и использовать ключи с ограничениями по месту назначения. Об ошибке сообщил исследователь sn0x-sharma.

• В клиенте ssh устранён потенциальный use-after-free, возникавший при перераспределении памяти, если удалённое перенаправление порта добавлялось через локальный сокет мультиплексирования в момент, когда предыдущий запрос на такое перенаправление ещё ожидал ответа сервера. Сообщение об ошибке и исправление предоставил Brian Mingus из Cognatory.

• В sshd исправлена обработка restrict из authorized_keys. Теперь ограничение распространяется и на туннельное перенаправление. Само туннелирование такого типа по умолчанию административно запрещено. Проблему обнаружил Erichen из Institute of Computing Technology Китайской академии наук.

• Расширены возможности работы с аппаратными FIDO-ключами. ssh-keygen теперь позволяет устанавливать и снимать флаги touch-required и verify-required у закрытых FIDO-ключей при смене парольной фразы. Кроме того, изменён порядок перебора сертификатов при аутентификации: сначала пробуются FIDO-ключи, не требующие физического подтверждения присутствия пользователя, а ключи с обязательной проверкой через PIN-код или биометрию оставляются напоследок.

• В клиент добавлен режим ssh -Z user@host, выводящий список ключей, которые будут опробованы при аутентификации с открытым ключом, причём именно в фактическом порядке их использования. Это может упростить диагностику конфигураций с большим количеством ключей, сертификатов и SSH-агентов.

• Для sshd-session добавлено использование setproctitle(), благодаря чему процесс, выполняющий роль монитора после успешной аутентификации, проще определить в списке процессов.

• ssh-keyscan переведён на неблокирующее чтение приветствия сервера, чтобы зависший сервер не останавливал сканирование остальных хостов. Также исправлены имена параметров GSSAPI, повреждённые при рефакторинге OpenSSH 10.4, и восстановлено применение ChannelTimeout и RekeyLimit внутри секций Match.

• Проверка допустимости типа открытого ключа в sshd перенесена на этап до разбора присланного клиентом ключа. По словам разработчиков, это сокращает доступную до аутентификации поверхность атаки, исключая часть путей разбора и проверки ключей. Предложение внёс Christopher Paul Rohlf из Anthropic.

• В ssh-keygen исправлены случаи двойного освобождения памяти, которые, по оценке разработчиков, недостижимы за пределами тестового окружения.

• Изменены требования Portable OpenSSH к криптографической библиотеке. Теперь сборка требует поддержки эллиптической криптографии в libcrypto, включая кривую NIST P-521. Разработчики отмечают, что необходимая функциональность уже включена в стандартные конфигурации LibreSSL, OpenSSL, BoringSSL и AWS-LC, поэтому для обычных Linux-дистрибутивов изменение проблем вызвать не должно. Сборки с --without-openssl это требование не затрагивает.

Одновременно с OpenSSH 10.5 подготовлена переносимая версия OpenSSH 10.5p1 для Linux и других Unix-подобных систем. Архив openssh-10.5p1.tar.gz опубликован на зеркалах OpenBSD; контрольные суммы приведены в официальном сообщении о выпуске.