Екипът на OpenSSH пусна версия 10.6 на 6 октомври и заяви, че временно ще издава нови версии по-често, за да може корекциите на грешки да стигат по-бързо до потребителите. Разработчиците са получили голям брой доклади за сигурност, много от които са открити от модели с изкуствен интелект или с помощта на AI, като в редица случаи друг изследовател независимо е откривал същата уязвимост по-късно.
Атакуващите, които не съобщават за уязвимости на проектите с отворен код, според разработчиците „вероятно също ще могат да открият тези грешки“. Ако използвате sshd или ssh клиента, очаквайте актуализации на по-кратък цикъл.
Сгъстяването (компресията) отслабва
И двете програми вече премахват алгоритъма за компресия LZ77, така че опцията Compression е по-малко ефективна. Фабиан Боймер и Маркус Бринкман описаха атака, при която субект, контролиращ входните данни в един канал, може да възстанови тайни от друг. Всеки канал в една сесия споделя общ речник за компресия, а повтарящите се низове променят дължината на криптирания текст. Разработчиците препоръчват компресия на ниво приложение, която според тях обикновено е по-ефективна и имунна срещу тази атака.
Потребителски имена със $ или \ се отхвърлят
ssh вече отхвърля потребителски имена от командния ред, съдържащи знак за долар ($) или обратна наклонена черта (\), тъй като име от ненадежден източник може да инжектира зловреден код в контекста на командния интерпретатор (shell) чрез ProxyCommand или Match exec. Имената, зададени с директивата User в конфигурационните файлове, са изключени. Разработчиците отбелязват, че подобна мярка за ограничаване на риска не може да бъде абсолютна.
Други корекции
sshd вече съхранява GSSAPI идентификационни данни само след успешно удостоверяване. Преди това данни от неуспешен опит можеха да запазят присъствието си и да бъдат разкрити след последващ успешен вход. sftp валидира върнатите от сървъра пътища по-стриктно, затваряйки пролуки, при които сървър би могъл да пренасочи рекурсивно копиране извън целевата си директория. ssh-keygen обработваше погрешно лятното часово време, поради което сертификатите можеха да носят времена на изтичане, разминаващи се с до един час, или с два часа за часовата зона Антарктика/Трол.
При QNX 6, SCO OpenServer 5 и компилации, направени с –disable-fd-passing, процесът след удостоверяване запазва root права, поради което GatewayPorts и StreamLocalForwarding вече са деактивирани там. Поддръжката за тези платформи ще бъде премахната в бъдеще, ако не бъде намерена алтернатива.
Версията също така активира хибридния постквантов алгоритъм за подпис ssh-mldsa44-ed25519. Ключовете, генерирани с по-ранната експериментална поддръжка, трябва да бъдат генерирани отново или премахнати.