Az OpenSSH projekt bejelentette a Portable OpenSSH 10.6p2 kiadását. Ez egy sürgős biztonsági frissítés, amely egy kritikus, jelszó-hitelesítést megkerülő sebezhetőséget javít bizonyos Linux rendszereken.

A bejelentés szerint a probléma azokat a Linux rendszereket érinti, ahol az OpenSSH-t PAM támogatás nélkül fordítják és futtatják. A kiadási megjegyzések külön kiemelik a PAM nélkül használt musl libc alapú rendszereket, mint érintetteket.

A sebezhetőséget az OpenSSH szerver daemonon (sshd) keresztül lehet kihasználni, és így a támadók megkerülhetik a jelszavas hitelesítést. A fejlesztők hangsúlyozzák, hogy a hiba közvetlen oka nem magában az OpenSSH-ben van. Ennek ellenére kerülő megoldást építettek be az sshd-be, hogy megakadályozzák a kihasználását.

A probléma súlyossága miatt az érintett konfigurációkat futtató rendszergazdáknak azt javasolják, hogy frissítsenek, amint a disztribúciójuk tárolóiban elérhetővé válnak az új csomagok.

A biztonsági javításon túl az OpenSSH 10.6p2 több olyan fejlesztést is tartalmaz, amely már korábban bekerült a projekt stabil ágába. Ezek között van a hibrid poszt-kvantum aláírási algoritmus, az ssh-mldsa44-ed25519 támogatása is, mint engedélyezett CA aláírási algoritmus.

A frissítés megszüntet egy rövid, egy másodpercnél rövidebb CPU-pörgést, amely akkor jelentkezett, ha a ChannelTimeout opció engedélyezve volt. Emellett kijavítja a váratlan viselkedést is, amikor a SIGINT vagy SIGQUIT jelek megszakítják a jelszó-kifejezés (passphrase) megadását az ssh, ssh-add és ssh-keygen programokban.

Az OpenSSH fejlesztői azt is bejelentették, hogy megváltoztatják a biztonsági frissítések kezelésének gyakorlatát. Ennek oka, hogy egyre több sebezhetőségi jelentés készül, vagy kap segítséget mesterséges intelligenciától.

A csapat szerint sok ilyen, MI által generált jelentésnek nincs gyakorlati biztonsági hatása, de akadnak köztük olyanok is, amelyek valós sebezhetőségeket azonosítanak, és ezeket később más kutatók is felfedezik.

A fejlesztők úgy vélik, ez arra utal, hogy rosszindulatú szereplők is képesek lehetnek ezeknek a hibáknak a felderítésére anélkül, hogy jelentenék őket. Emiatt az OpenSSH a jövőben gyakrabban fogja kiadni a biztonsági javításokat, ahelyett hogy megvárná velük a következő ütemezett kiadást.

Végül az OpenSSH 10.6p2 megtartja a korábban bejelentett elavulást az scp parancs -R opciójára vonatkozóan. Ez az opció távoli gépek közötti másolást végez úgy, hogy scp-t futtat a távoli gépen. Az OpenSSH 10.6 óta ennek használata elavulási figyelmeztetést ad. Egy későbbi kiadás már figyelmen kívül hagyja ezt az opciót, és az alapértelmezett viselkedést alkalmazza, vagyis a fájlokat a helyi gépen keresztül továbbítja.