В OpenSSH нашли дыру, позволяющую удалённо выполнить код с правами root без аутентификации. Уязвимости подвержены только сервера на Linux с библиотекой glibc, использующие OpenSSH от версии 8.5p1 до 9.7p1 включительно. Проблема заключается в состоянии гонки в обработчиках сигналов.

Атака продемонстрирована пока что только в лабораторных условиях на 32-битных системах и занимает порядка 6-8 часов. 64-битные системы в теории тоже уязвимы, но из-за гораздо большего пространства адресов, используемого для ASLR, эксплуатация пока что не была возможной.

Системы с другими реализациями libc также могут быть подвержены уязвимости. OpenBSD же всё ещё остаётся оплотом безопасности.

>>> Подробный разбор уязвимого кода

>>> Подробности

После пяти месяцев разработки опубликован релиз OpenSSH 9.4, открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP.

( читать дальше... )

>>> Подробности

Доступен новый релиз WindTerm – бесплатного клиента для протоколов SSH/Sftp/Shell/Telnet/Serial.

WindTerm является проектом с частично открытым исходным кодом, и исходный код будет постепенно открываться. Весь опубликованный на текущий момент исходный код предоставляются на условиях лицензии Apache 2.0. Исключение составляет код сторонних разработчиков. WindTerm полностью бесплатен, в том числе для коммерческого использования.

( читать дальше... )

>>> Подробности

OpenSSH – это набор защищенных сетевых утилит, основанных на протоколе Secure Shell, который обеспечивает безопасный канал по незащищенной сети в архитектуре клиент-сервер.

( читать дальше... )

>>> Подробности

В этой версии:

• В sshd устранена уязвимость, позволяющая получить доступ без аутентификации.
• В переносимой версии OpenSSH в sshd удалена поддержка MD5.
• В ssh, ssh-agent, ssh-add и sshd реализована подсистема для ограничения пересылки и использования ключей, которые добавлены в ssh-agent. Подсистема позволяет задать правила, которые определяют, как и где можно использовать ключи в ssh-agent.
• В ssh, ssh-keygen и ssh-agent улучшена обработка ключей FIDO-токенов.
• В ssh-add и ssh-agent добавлена возможность добавления в ssh-agent FIDO-ключей, защищённых PIN-кодом.
• В ssh-keygen разрешён выбор алгоритма хэширования (sha512 или sha256) во время формирования подписи.

В будущем программу scp планируется перевести на использование протокола SFTP вместо устаревшего SCP/RCP.

>>> Подробности

Доступен новый релиз WindTerm – Бесплатный клиент для протоколов SSH/Sftp/Shell/Telnet/Serial.

WindTerm полностью бесплатнен как для коммерческого, так и некоммерческого использования. Весь опубликованный на текущий момент исходный код предоставляются на условиях лицензии Apache-2.0. Исключение составляет код сторонних разработчиков.

WindTerm является проектом с частично открытым исходным кодом, и исходный код будет постепенно открываться.

Возможности версии 2.1:

• Поддерживает macOS. Теперь поддерживаются все последние версии Linux, macOS и Windows.
• Поддержка XModem, YModem, ZModem. Вступительное видео
• Синхронизируйте ввод в нескольких сеансах. Вступительное видео
• Режим фокусировки. Вступительное видео
• Экран блокировки. Вступительное видео

Основные возможности:

• Поддержка популярных протоколов: SSH v2, Telnet, Raw TCP, Serial, Shell.
• Поддержка прямого, обратного и динамического проброса портов.
• Поддержка оболочек Windows: cmd, PowerShell и cmd, PowerShell as Administrator.
• Поддержка оболочек Linux: bash, tcsh, zsh, PowerShell Core.
• Поддержка оболочек macOS: bash, tcsh, zsh, PowerShell Core.

Полный список изменений:

• Change Log

Загрузки:

• Download

>>> WindTerm Home

Доступен новый релиз WindTerm – клиента для протоколов SSH/Sftp/Shell/Telnet/Serial.

WindTerm Image

WindTerm полностью бесплатнен как для коммерческого, так и некоммерческого использования. Весь опубликованный на текущий момент исходный код предоставляются на условиях лицензии Apache-2.0. Исключение составляет код сторонних разработчиков.

WindTerm является проектом с частично открытым исходным кодом, и исходный код будет постепенно открываться.

Возможности версии 2.0:

• Поддержка X11 Forwarding. Вступительное видео
• Поддержка ProxyCommand, ProxyJump. Вступительное видео
• Дополнительные меры при вводе имени пользователя и пароля. Вступительное видео
• Поддержка туннелей принимает только локальные подключения.
• Поиск по открытым вкладкам. Вступительное видео

( читать дальше... )

Полный список изменений

>>> WindTerm

Вышел новый релиз WindTerm – профессионального SSH/Telnet/Serial/Shell/Sftp клиента для DevOps.

В этом релизе была добавлена поддержка запуска клиента в линукс. Обратите внимание, что пока в версии для линукс не поддерживается X Forwarding.

WindTerm полностью бесплатнен для коммерческого и некоммерческого использования без ограничений. Все опубликованные на текущий момент исходные коды (за исключением кода сторонних разработчиков) предоставляются на условиях лицензии Apache-2.0.

WindTerm является проектом с частично открытым исходным кодом, и исходный код будет постепенно открываться.

( читать дальше... )

Демо возможностей WindTerm

>>> Подробности

OpenSSH это полная реализация протокола SSH 2.0, также включающая в себя поддержку SFTP.

Данный релиз включает в себя поддержку аппаратных аутентификаторов FIDO/U2F. FIDO устройства теперь поддерживаются под новыми типами ключей «ecdsa-sk» и «ed25519-sk», вместе с соответствующими сертификатами.

Данный релиз включает ряд изменений, которые могут повлиять на существующие конфигурации:

• Удаление «ssh-rsa» из списков CASignatureAlgorithms. Теперь при подписи новых сертификатов будет используется «rsa-sha2-512» по умолчанию;
• Удалён алгоритм diffie-hellman-group14-sha1 как для клиента, так и для сервера;
• При использовании утилиты ps, в заголовке процесса sshd теперь отображается число подключений, пытающихся пройти аутентификацию и лимиты настроенные с помощью MaxStartups;
• Добавлен новый исполняемый файл ssh-sk-helper. Он предназначен для изоляции FIDO/U2F библиотек.

Также было объявлено о скором прекращении поддержки алгоритма хэширования SHA-1.

>>> Подробности

1 июля 2019 года анонсирован релиз GNU Rush 2.0.

GNU Rush — это ограниченная пользовательская оболочка (Restricted User Shell), разработанная для предоставления урезанного неинтерактивного доступа к удаленным ресурсам через ssh (например, GNU Savannah). Гибкое конфигурирование дает системным администраторам полный контроль над возможностями, которые доступны пользователям, а также контроль за использованием системных ресурсов, таких как виртуальная память, процессорное время и т. д.

В этом выпуске полностью переписан код обработки конфигурации. Изменения вводят новый синтаксис файла конфигурации, который предлагает большой набор структур управления и инструкции по преобразованию для обработки произвольных запросов.

>>> Подробности

OpenSSH — это реализация протокола SSH 2.0, включающая в себя sftp клиент и сервер.

В этом релизе прекращена поддержка некоторых очень старых реализаций SSH, включая ssh.com старше 2.* и OpenSSH старше 3.*. Эти версии были выпущены до 2001 года и на тот момент еще не было конечной версии RFC, следовательно прекращение поддержки не влияет на совместимые с RFC реализации SSH.

( читать дальше... )

>>> Подробности

Представлен новый выпуск PuTTY — свободно распространяемого клиента для различных протоколов удалённого доступа, включая SSH, Telnet и rlogin.

Основные изменения:

• Версия PuTTY для Windows больше не уязвима к технике dll hijacking.
• Исправлена работа с MIT Kerberos в версии для Windows.
• Списки последних сессий теперь снова появляются в ярлыке PuTTY в меню «Пуск».
• Добавлена возможность не отправлять настройки SSH-терминала на сервер.

>>> Подробности

Представлен новый выпуск OpenSSH — набора программ, предоставляющих шифрование сеансов связи по компьютерным сетям с использованием протокола SSH.

( читать дальше... )

>>> Подробности

Выявлено несколько уязвимостей в OpenSSH, позволяющих провести атаку на сервер, вызвав тем самым отказ в обслуживании или даже повышение прав доступа локального пользователя. Уязвимостям подвержены все версии OpenSSH вплоть до 7.2.

Одна из уязвимостей заключается в том, что при помощи слишком длинного пароля злоумышленник может вызвать потребление большого количества ресурсов сервера из-за обработки этого пароля функцией crypt.

Другая уязвимость позволяет злоумышленнику при помощи специальным образом сформированных переменных окружения провести атаку против процесса 'bin/login' на системах, где PAM сконфигурирован на чтение данных из переменных окружения и sshd_config содержит опцию «UseLogin=yes».

Найденные уязвимости устранены в версии OpenSSH 7.3.

Больше подробностей на русском языке можно найти здесь.

>>> Подробности на английском языке

Компания Gravitational объявила о доступности нового свободного SSH-пакета Gravitational Teleport (Teleport), предлагающего клиент и сервер SSH, оптимизированные для упрощения работы персонала, обслуживающего кластеры с большим числом узлов. Код проекта написан на языке Go и распространяется под лицензией Apache 2.0. Реализация SSH обратно совместима с OpenSSH и построена с использованием библиотеки Golang SSH.

Teleport пытается автоматизировать работу и повысить безопасность инфраструктур, в которых группам людей требуется доступ к различным серверам в кластере. Вместо применяемой в OpenSSH аутентификации по ключам, чтобы избежать необходимости копирования ключа каждого пользователя на узлы, в Teleport используются централизованные серверы аутентификации, выполняющие функции локального удостоверяющего центра (CA). При успешной аутентификации, для обеспечения входа сервер аутентификации генерирует временный сертификат, заверенный цифровой подписью CA. Достоверность узлов также подтверждается при помощи сертификата, подписанного CA.

Помимо проверки сертификата при каждом входе обязательно применяется двухфакторная аутентификация, требующая подтвердить намерение входа альтернативным путём (поддерживаются Google Apps и клиенты OAuth2). Не допускается прямое обращение к конечным узлам, для доступа требуется подключение через специальный прокси-сервер.

Другие особенности Teleport:

( читать дальше... )

>>> Подробности

В клиенте OpenSSH найдена уязвимость, потенциально позволяющая утечку секретного ключа клиента.

Ошибке подвержены все версии от 5.4 и до 7.1, кроме 6.6.

Для предотвращения утечки и до выхода обновления для вашей системы рекомендуется запретить Roaming — экспериментальное и недокументированное расширение для возобновления прерванных SSH-соединений, которое разрешено по умолчанию.

echo -e 'Host *\nUseRoaming no' >> /etc/ssh/ssh_config

На данный момент уже доступны обновления для OpenBSD и Debian.

>>> Подробности

Состоялся релиз OpenSSH 6.9. По большей части этот выпуск содержит исправления ошибок. В этом выпуске:

• Шифром по умолчанию стал «chacha20-poly1305 at openssh.com».
• Поддержка заданных администратором аргументов в AuthorizedKeysCommand.
• Добавлена функция AuthorizedPrincipalsCommand, позволяющая получать информацию из субпроцессов, а не из файлов.
• Поддержка устройств PKCS#11 с дополнительными устройствами ввода PIN.
• GSSAPI разрешено проводить проверку хостов с помощью опции GSSAPIStrictAcceptorCheck.
• Команда ssh-keygen -lF hostname для поиска по known_hosts и печати хешей вместо полных ключей.
• В ssh-agent добавлена опция -D для работы без режима дебага.

А также множество исправлений ошибок. Следует отметить, что следующий выпуск — 7.0 поломает совместимость.

>>> Подробности

После полутора лет разработки вышла новая версия SSH-клиента PuTTY.

В этой версии:

• Устранена уязвимость, заключающаяся в том, что после проведения аутентификации с помощью закрытого ключа, он оставался висеть в памяти, откуда мог попасть в подкачку, дамп памяти и прочие непредусмотренные места (разработчик программы забыл исправить это в прошлой версии).
• Поддержка совместного использования SSH-подключений (несколько экземпляров PuTTY, подключенных к одному и тому же серверу, могут использовать одно соединение).
• Добавлены опция командной строки и опция в настройках, позволяющие явно указать ожидаемые от сервера ключи.
• Опция «Предпочитаемая версия протокола SSH» теперь по умолчанию выставлена в «только 2» (ранее предпочиталась версия 2, но допускалась и 1).
• Ошибки сокета при соединениях, использующих перенаправление портов, теперь записываются в журнал событий.
• Повторные обмены ключами в середине SSH-сессии больше не вызывают появления назойливого оповещения об изменении ключа сервера.
• Сброшены настройки полужирного текста (в версии 0.63 из-за рефакторинга кода их значения были выставлены ошибочно).
• Литералы IPv6 (например, ::1) теперь будут корректно обрабатываться программой, при условии, что они обрамлены квадратными скобками, чтобы не путать их с прочими двоеточиями (например, с :port).
• Снова заработало динамическое перенаправление портов IPv6.

>>> Подробности

Вышло обновление для libssh, которое устраняет уязвимость CVE-2014-0017.

libssh — кроссплатформенная библиотека Си, поддерживающая протоколы SSHv2 и SSHv1. С помощью libssh вы сможете удалённо запускать приложения, передавать файлы и использовать защищённый туннель для ваших приложений.

Список изменений в версии 0.6.3:

• Устранена уязвимость CVE-2014-0017.
• Устранена утечка памяти.

Скачать

>>> Подробности

Новая версия популярной библиотеки для работы с SSH, распространяющейся на условиях лицензии LGPL.

Основные изменения:

Добавлены:

• Поддержка алгоритмов ECDSA и ECDH.
• Новые API: серверный (основан на callback-вызовах), API для работы с открытыми ключами и API для аутентификации пользователей.
• Две новые функции: ssh_get_publickey_hash() и ssh_get_poll_flags().
• Перенаправление SSH-agent.
• Система логгирования.
• Аутентификация пользователей gsaapi-mic и опции GSSAPIServerIdentity, GSSAPIClientIdentity и GSSAPIDelegateCredentials.

Улучшены:

• Документация.
• Покрытие кода тестами.

Исправлены:

• Обработка тайм-аутов.

>>> Подробности