Релиз OpenSSH 8.6 с устранением уязвимости

19.04.2021 07:44

Опубликован релиз OpenSSH 8.6, открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP. В новой версии устранена уязвимость в реализации директивы LogVerbose, появившейся в прошлом выпуске и позволяющей поднять уровень сбрасываемой в лог отладочной информации, в том числе реализовать возможность фильтрации по шаблонам, функциям и файлам, связанным с кодом, выполняемым со сброшенными привилегиями в процессе sshd, изолированном в sandbox-окружении.

Атакующий, добившийся получения контроля за непривилегированным процессом при помощи какой-то ещё не известной уязвимости, может использовать связанную с LogVerbose проблему для обхода sandbox-изоляции и совершения атаки на процесс, выполняемый с повышенными привилегиями. Применение уязвимости в LogVerbose на практике оценивается как маловероятное, так как настройка LogVerbose по умолчанию отключена и обычно используется только во время отладки. Также для атаки требуется найти новую уязвимость в непривилегированном процессе.

Изменения в OpenSSH 8.6, не связанные с уязвимостью:

В sftp и sftp-server реализовано новое расширение протокола "limits@openssh.com", дающее возможность SFTP-клиенту получить сведения об установленных на сервере ограничениях, включая лимиты на максимальный размер пакета и операций записи и чтения. В sftp новое расширение задействовано для выбора оптимального размера блоков при передаче данных.
В sshd_config для sshd добавлена настройка ModuliFile, позволяющая указать путь к файлу "moduli", содержащему группы для DH-GEX.
В unit-тесты добавлена переменная окружения TEST_SSH_ELAPSED_TIMES для включения вывода времени, прошедшего с момента запуска каждого теста.
Интерфейс для запроса пароля для GNOME разделён на два варианта, один для GNOME2, а второй для GNOME3 (contrib/gnome-ssk-askpass3.c). Вариант для GNOME3 для улучшения совместимости с Wayland использует вызов gdk_seat_grab() при управлении захватом клавиатуры и мыши.
В применяемый в Linux sandbox на базе seccomp-bpf добавлен мягкий запрет (soft-disallow) системного вызова fstatat64.

исправить +12 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/54986-openssh

Ключевые слова: openssh, ssh

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (25)

1.2, КО (?), 08:24, 19/04/2021 [ответить] [﹢﹢﹢] [ · · · ] [↓] [к модератору]

–8 +/–

"настройка LogVerbose по умолчанию отключена и обычно используется только во время отладки"

N лет спустя..
Релиз OpenSSH X.X
LogVerbose по умолчанию включена

Nдцать лет спустя...
Релиз OpenSSH XX.X
Мы не ожидали, что данная атака произойдет из-за использования довольно старой уязвимости, поэтому решили её снова отключить.
Haha, classic.

2.4, Аноним (4), 09:35, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	–10 +/–
Все же понимают что это жжжжж неспроста. Кто-то из определенной организации выдал команду включить, когда спалили выключи сказали: «Ой, а мы и не знали». Классика

3.12, Qwerty (??), 10:56, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	+4 +/–
Из организации рептилоидов, видимо. Не забывайте пить таблеточки.

4.17, Аноним (17), 11:15, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	+1 +/–
Из Ф...Б...Р. Эдвард Сноуден, кстати, передает вам привет из солнечного Подмосковья.

5.21, Michael Shigorin (ok), 11:44, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	–1 +/–
Федеральное Бюро Ресследований? :}

6.23, Аноним (23), 13:30, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	+2 +/–
Фонд Борьбы с Расследованиями. Джулиана Асанжального.

1.5, анончик (?), 09:37, 19/04/2021 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]	–10 +/–
писали б на Rust не было бы такой фигни

2.6, Аноним (4), 09:46, 19/04/2021 [^] [^^] [^^^] [ответить] [↓] [к модератору]	+12 +/–
Не было бы никакого OpenSSH.

3.7, Аноним (7), 09:52, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	+8 +/–
нет программы - нет уязвимостей в ней.

2.15, acroobat (ok), 11:06, 19/04/2021 [^] [^^] [^^^] [ответить] [↓] [↑] [к модератору]	–1 +/–
Если б на плюсах.

3.19, Аноним (17), 11:15, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	–1 +/–
Там же умные указатели. Дырки они только сишные бывают.

4.20, acroobat (ok), 11:23, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	–1 +/–
> Там же умные указатели. Дырки они только сишные бывают. А на D указателей вообще нет. Тройная защита.

5.25, Аноним (25), 14:03, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Уверен? Видно ты их ещё там не откопал.

6.28, acroobat (ok), 14:17, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Не нужны, ибо автоматическое управление памятью.

7.30, Аноним (30), 23:32, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Ну, может быть, в коде на pure D и не нужны. А вот для использования сишный библиотек, наверное, не обойтись.

8.33, acroobat (ok), 23:48, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	+/–
В extern C только ... текст свёрнут, показать

2.18, Аноним (18), 11:15, 19/04/2021 [^] [^^] [^^^] [ответить] [↑] [к модератору]	+1 +/–
Ваш rust уже избавился от самой главной уязвимости (самого программиста)?

2.26, Аноним (25), 14:14, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	+/–
>писали б на Rust не было бы такой фигни Юмор оценил. "устранена уязвимость в реализации директивы LogVerbose, появившейся в прошлом выпуске и позволяющей поднять уровень сбрасываемой в лог отладочной информации, в том числе реализовать возможность фильтрации по шаблонам, функциям и файлам, связанным с кодом, выполняемым со сброшенными привилегиями в процессе sshd, изолированном в sandbox-окружении." Что, как бы, намекает, что прблема в алгоритмах.

1.22, Zenitur (ok), 11:49, 19/04/2021 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]	+1 +/–
> Интерфейс для запроса пароля для GNOME разделён на два варианта, один для GNOME2 Рад, что GNOME2 не забывают. Можно установить на RHEL6 и openSUSE 11.4 Evergreen

2.27, Аноним (25), 14:17, 19/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Только вот зачем гомо- ... тьфу, Гномокод пихать в прямо в OpenSSH?

3.36, Zenitur (ok), 11:17, 20/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Думаю, что для GNOME Keyring. Кстати, у меня забавная история произошла с obs. Это который система сборки, а не записи видео с экрана. Если запустить osc с ключом --help, то в числе прочего пишут "если вы пользуетесь GNOME Keyring для хранения паролей, мы вышлем вам dialup-модем".

1.29, еманйам (?), 15:23, 19/04/2021 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]

+/–

>какой-то ещё не известной уязвимости

да переполнение какое-нибудь - как пить дать, с вашими дыренями

переписали б на D - небыло бы таких проблем.

2.38, Аноним (38), 16:27, 21/04/2021 [^] [^^] [^^^] [ответить] [к модератору]	+/–
Не надо ничего переписывать. Надо нормально собирать ядро и проги.

1.34, Аноним (34), 00:17, 20/04/2021 [ответить] [﹢﹢﹢] [ · · · ] [↑] [к модератору]	+2 +/–
> добавлен мягкий запрет А что это такое? Когда нельзя, но если очень хочется, то можно?

1.37, Аноним (38), 16:25, 21/04/2021 [ответить] [﹢﹢﹢] [ · · · ] [к модератору]	+/–
> В новой версии устранена уязвимость в реализации директивы LogVerbose, появившейся в прошлом выпуске А забить на эти обновления!

игнорирование участников | лог модерирования

Добавить комментарий

Имя:

E-Mail:

Текст: