Релиз OpenSSH 6.129.08.2012 21:00

Представлен релиз OpenSSH 6.1, открытой реализации клиента и сервера для работы по протоколам SSH (1.3, 1.5 и 2.0) и SFTP.

Из наиболее заметных улучшений можно отметить:

Включён по умолчанию sandbox-режим "UsePrivilegeSeparation=sandbox", использующий rlimit, systrace, seсcomp filter и другие подсистемы для более жесткой изоляции кода, работающего на стадии до начала аутентификации (pre-auth). Sandbox-режим позволяет воспрепятствовать выполнению системных вызовов к ядру и использованию сокетов, в дополнение к ранее практикуемым сбросу прав до непривилегированного пользователя и помещением процесса в chroot-окружение /var/empty. Таким образом, в случае проникновения через уязвимость в OpenSSH при использовании новой защиты злоумышленник не сможет эксплуатировать локальную уязвимость в ядре для повышения прав или провести атаку на другие хосты (создать сокет, запустить прокси и т.п.). Для Linux при возможности используется seсcomp filter, но если в ядре нет поддержки данной технологии применяется изоляция на основе rlimit;
В ssh-keygen добавлены опции для указания начального номера строки и числа строк для обработки файла moduli по частям, в том числе для организации параллельной обработки различных частей файла moduli;
В директиве Match добавлена поддержка проверки локального адреса и порта (LocalAddress и LocalPort), на которое было принято входящее соединение. Кроме того, через директиву Match теперь можно устанавливать AcceptEnv и {Allow,Deny}{Users,Groups};
Добавлена поддержка DNS-записей SSHFP (RFC6594) для проверки ключей типа ECDSA (Elliptic Curve Digital Signature Algorithm) через DNS. Например, "server.example.net IN SSHFP 3 1 ( c6...5 )";
В ssh-keygen добавлена возможность преобразования ключей RSA1 в публичный PEM и PKCS8;
В директиве PermitOpen из sshd_config добавлена поддержка указания аргумента "none" для блокирования всех запросов на перенаправление портов. Значение "none" также теперь допустимо для AuthorizedPrincipalsFile;
В ssh-keyscan по умолчанию осуществляется поиск ключей ECDSA;
В sshd_config добавлена опция "VersionAddendum", дающая возможность добавить произвольный текст к выводимой строке с номером версии.