OpenBSD 8.0 беше официално представен с корекции за сигурност в ядрото, мрежовите услуги, защитната стена и инструментите за обновяване, заедно с експериментална поддръжка на постквантови SSH цифрови подписи.

Проектът, чийто 61-ви релийз излезе на 20 октомври 2026 г., включва OpenSSH 10.6 и LibreSSL 4.4.0, въвеждайки по-строги проверки за ненадеждни данни и промени в обработката на сигурни връзки.

Официалните бележки към изданието описват подробно промени, които отстраняват грешки в паметта, небезопасна работа с файлове и пропуски в изолацията на процесите. За системните администратори обновяването надхвърля сигурността на отдалечения достъп, обхващайки уеб сървъри, доставка на електронна поща, DHCP услуги, виртуални машини и инсталиране на фърмуер.

OpenSSH 10.6 включва експериментална поддръжка за съставната схема за цифрови подписи mldsa44-ed25519, която комбинира ML-DSA 44 с Ed25519.

Новото издание също така заменя специфичния за OpenSSH идентификатор на схемата с кодова точка, предоставена от IANA — промяна, която администраторите, тестващи по-ранни реализации, трябва да вземат предвид.

Излезе OpenBSD 8.0

Тези подобрения засягат цифровите подписи, а не първоначалното въвеждане на постквантов обмен на ключове. Както беше отразено в промените за сигурност на OpenSSH 10.0, това по-ранно издание направи хибридното споразумение за ключове с ML-KEM и X25519 стандартно по подразбиране.

Следователно OpenBSD 8.0 надгражда съществуващата защита на връзките, устойчива на квантови атаки, вместо да я въвежда за първи път. Затягането на сигурността на SSH включва и деактивиране на речниковия кодер LZ77 за предотвратяване на потенциално изтичане на информация по страничен канал.

Разработчиците коригираха прилагането на настройките ChannelTimeout и RekeyLimit и гарантираха, че опцията „restrict“ в authorized_keys се прилага и при тунелно пренасочване. Опцията DisableForwarding вече има приоритет над PermitTunnel, с което се затяга контролът върху функциите за отдалечен достъп.

Допълнителни корекции отстраняват грешки в паметта на клиентските приложения, прекомерно разширяване на компресирани данни и проверка на състоянието, предавано между процесите на SSH сървъра преди и след автентикация. Някои пътища за парсване и проверка на ключове също бяха премахнати от кода, достъпен преди вход в системата.

При amd64 системите OpenBSD вече разполага директното картографиране на паметта на ядрото на произволно място. Изданието също така отстранява изтичане на информация от стека на ядрото и премахва уязвимост за четене и запис в паметта на ядрото без привилегии, засягаща конвейера за данни m88k 88100.

Тези промени надграждат фокуса върху сигурността от OpenBSD 7.7. Версия 8.0 добавя по-строги сокет проверки чрез pledge и ограничава достъпа до файлове за инструментите за преглед на ръководства (man pages) чрез unveil.

Защитната стена PF получава корекции срещу четене извън границите на буфера, състезателни състояния при броячите на връзки и манипулирани рестартиращи пакети, които биха могли неправилно да премахнат TCP състояние. Същевременно httpd отхвърля двусмислено структуриране на заявки и остарели пренесени заглавки (folded headers).

Relayd отхвърля дублирани заглавки Content-Length и премахва Content-Length от съобщения, изпращани на части (chunked), като по този начин намалява разминаванията в начина на обработка на HTTP заявките.

Обновяванията на фърмуера вече проверяват подписите на локалните файлове SHA256.sig, ограничават размерите за изтегляне и пропускат архивни записи извън очакваните директории. Инсталирането на пакети по подразбиране вече не търси в текущата директория. В същото време pax блокира извличането на файлове от злонамерени архиви извън работната директория.

LibreSSL 4.4.0 превръща X25519MLKEM768 в предпочитана TLS 1.3 група в libtls. Също така коригира проверки на сертификати, заобикаляне на оторизацията при OCSP responder и прекомерно буфериране при DTLS ръкостискане.

Администраторите следва да прегледат промените за съвместимост, да се запознаят с документацията за надграждане и да проверят списъка с грешки и корекции преди внедряване на обновяването в продукционни среди.