Проект OpenSSH анонсировал выпуск OpenSSH 10.6p2 — срочного обновления безопасности, устраняющего критическую уязвимость, связанную с обходом аутентификации по паролю в некоторых системах Linux.
Согласно объявлению, проблема затрагивает системы Linux, в которых OpenSSH собран и запущен с отключенной поддержкой PAM. Важно отметить, что в примечаниях к выпуску говорится о системах, использующих musl libc с отключенной поддержкой PAM.
Уязвимость может быть использована через серверный демон OpenSSH (sshd), что потенциально позволяет злоумышленникам обойти аутентификацию по паролю. Разработчики подчеркивают, что основная причина кроется не в самом OpenSSH. Тем не менее, они внедрили обходной путь в sshd для предотвращения эксплуатации уязвимости.
Учитывая серьезность проблемы, администраторам, использующим уязвимые конфигурации, рекомендуется выполнить обновление, как только пакеты станут доступны в их дистрибутивах.
Помимо исправления уязвимости, OpenSSH 10.6p2 включает в себя несколько улучшений, которые уже были внесены в стабильную ветку проекта. Среди них — поддержка гибридного постквантового алгоритма подписи ssh-mldsa44-ed25519 в качестве допустимого алгоритма подписи ЦС.
Обновление также устраняет кратковременную загрузку процессора продолжительностью менее одной секунды при включенной опции ChannelTimeout и исправляет неожиданное поведение при прерывании ввода парольной фразы сигналами SIGINT или SIGQUIT в ssh, ssh-add, и ssh-keygen.
Разработчики OpenSSH также объявили об изменении подхода к обновлению системы безопасности, сославшись на растущее число отчетов об уязвимостях, созданных с помощью искусственного интеллекта или при его участии.
По словам команды разработчиков, хотя многие отчеты, созданные с помощью ИИ, не оказывают практического влияния на безопасность, в других отчетах указываются реальные уязвимости, которые впоследствии независимо друг от друга обнаруживают разные исследователи.
По мнению разработчиков, это означает, что злоумышленники также могут обнаружить эти проблемы, не сообщая о них. Следовательно, OpenSSH намерен чаще публиковать исправления для системы безопасности, а не откладывать их до следующего запланированного релиза.
Наконец, в OpenSSH 10.6p2 сохранена объявленная ранее поддержка устаревания опции scp команды -R, которая выполняет копирование с удаленного сервера на удаленный сервер путем запуска scp на удаленном хосте. Начиная с OpenSSH 10.6, при использовании этой опции выводится предупреждение об устаревании. В будущих выпусках эта функция будет игнорироваться, и файлы будут передаваться через локальный хост по умолчанию.
