OpenSSH 9.8 Lost Kritieke sshd-kwetsbaarheid op

OpenSSH 9.8 verbetert de beveiliging door kritieke racecondities in sshd en logische fouten in ssh te verhelpen.

Vandaag heeft het OpenSSH-project de release van OpenSSH 9.8 aangekondigd, die beschikbaar is voor download op de officiële mirrors. Deze release heeft een kritisch probleem (CVE-2024-6387) opgelost dat werd gevonden in Portable OpenSSH-versies 8.5p1 tot 9.7p1.

De kwetsbaarheid, die mogelijk willekeurige code-uitvoering met rootrechten toestaat, trof vooral 32-bit Linux-systemen met ASLR.

Hoewel de exploit nog niet is aangetoond op 64-bit systemen, blijft de mogelijkheid bestaan, waardoor het risico voor systemen zonder effectieve address space layout randomization (ASLR) toeneemt.

Een andere belangrijke oplossing was voor een logische fout in de versies 9.5 tot en met 9.7, die de functie ObscureKeystrokeTiming ineffectief maakte. Deze kwetsbaarheid kon een passieve waarnemer in staat stellen toetsaanslagen te detecteren, wat een risico vormt, vooral bij het invoeren van gevoelige informatie zoals wachtwoorden.

Zoals we u in januari hebben geïnformeerd, is het de bedoeling van OpenSSH om de ondersteuning voor het DSA-handtekeningsalgoritme volledig af te schaffen tegen begin 2025. In deze versie zijn DSA-sleutels standaard al uitgeschakeld vanwege hun inherente zwaktes en verouderde technologie. Gebruikers die DSA nodig hebben, kunnen dit opnieuw inschakelen via specifieke build-opties die in de release-opmerkingen worden beschreven.

Bovendien introduceert OpenSSH 9.8 een nieuw strafsysteem in sshd, dat adressen blokkeert die verdacht gedrag vertonen, zoals herhaalde mislukte authenticatiepogingen. Deze functie is bedoeld om de beveiliging te verbeteren door het risico op brute-force aanvallen te verkleinen.

Naast deze verbeteringen bevat de update tal van bugfixes in de hele reeks tools en een paar mogelijk incompatibele wijzigingen, zoals het verwijderen van bepaalde verouderde functies en veranderingen in het servergedrag.

Tot slot richt de release zich ook op systeemcompatibiliteit en verbeteringen in de bouw, waardoor bredere ondersteuning wordt geboden voor verschillende systemen en configuraties. Opvallend is dat het de detectiemogelijkheden voor OpenSSL-configuraties verbetert en wijzigingen introduceert om meldingen voor systemd te ondersteunen in omgevingen die het gebruiken.

Bekijk de release-aankondiging voor gedetailleerde informatie over alle wijzigingen in OpenSSH 9.8