OpenSSH 10.6 ограничил сжатие и имена пользователей ради безопасности
Изображение: OpenAI
В OpenSSH 10.6 ради безопасности ограничили сжатие и запретили символы $ и \ в именах пользователей, переданных через командную строку. Версия вышла 6 октября, сообщает The New Stack. При включённом сжатии злоумышленник мог восстановить данные из соседнего канала SSH-соединения, а символы $ и \ в имени пользователя оболочка могла принять за часть команды.
В клиенте и сервере отключили словарное сжатие LZ77, сохранив кодирование Хаффмана. Сжатие теперь менее эффективно. Это может затронуть автоматические задания, которые передают большие объёмы хорошо сжимаемых данных по каналам с ограниченной пропускной способностью. Разработчики рекомендуют перенести сжатие на уровень приложения.
Уязвимость обнаружили исследователи Рурского университета в Бохуме. При включённом сжатии каналы внутри одного SSH-соединения использовали общий словарь сжатия. Злоумышленник, который мог отправлять данные по своему выбору в один канал и наблюдать за зашифрованным трафиком, мог восстановить секрет из другого канала. По умолчанию сжатие отключено.
Оболочка могла воспринимать символы $ и \ в имени пользователя как часть команды, а не как обычный текст, если имя попадало в команды из конфигурации SSH. Новый запрет не действует на имена, заданные директивой User в файле конфигурации, поэтому учётными записями с такими символами по-прежнему можно пользоваться. Скрипты, передающие эти имена через командную строку, придётся изменить. В версии 10.3 уже исправили связанную ошибку: проверка имён на спецсимволы срабатывала слишком поздно. Кроме того, гибридный постквантовый алгоритм подписи ssh-mldsa44-ed25519 лишился экспериментального суффикса @openssh.com, поэтому ключи, созданные прежней реализацией, придётся перевыпустить или удалить.
Исследователи подготовили демонстрации атаки на сжатие с помощью Claude Code. Ещё две ошибки, исправленные в релизе, обнаружили с помощью Claude и при участии Anthropic Research. Разработчики OpenSSH предупреждают, что злоумышленники, которые не сообщают о найденном, скорее всего, тоже смогут обнаружить эти ошибки, и планируют выпускать исправления чаще обычного.
