Тикающая бомба затаилась в сердце RHEL 9.
Теперь сервер OpenSSH разделяется надвое с новой архитектурой для лучшей защиты.
regreSSHion ставит под удар большинство дистрибутивов Linux.
Как злоумышленникам удалось обхитрить целое сообщество разработчиков?
Ошибка размером всего в один бит может поставить конфиденциальность данных под угрозу.
Хакеры используют бэкдор и модифицированный OpenSSH для заражения устройств и скрытого майнинга.
Всего исправлено 8 уязвимостей, позволявших злоумышленникам совершать вредоносные действия на скомпрометированных устройствах.
По мере того, как работа над квантовыми компьютерами продвигается вперед, защита от возможных атак также усиливается.
В будущих релизах утилиты алгоритм подписи открытых ключей ssh-rsa будет отключен по умолчанию.
В новом выпуске появилась возможность двухфакторной аутентификации при помощи устройств с поддержкой U2F-протокола.
В новом выпуске исправлена уязвимость, затрагивающая компоненты ssh, sshd, ssh-add и ssh-keygen.
Суть защиты заключается в шифровании закрытых ключей с помощью симметричного ключа.
Проблемы затрагивают OpenSSH, Putty и WinSCP.
Проблема связана с компонентом auth2-gss.c, активированным по умолчанию в Fedora, CentOS, Red Hat Enterprise Linux и пр.
Учитывая широкое распространение OpenSSH, речь может идти о миллиардах уязвимых устройств.
В настройках старых версий клиентов OpenSSH по умолчанию активирована функция TCP-перенаправления.
Проблемы содержатся в реализациях lighttpd и OpenSSH.
Проблема возникла из-за того, что алгоритм Blowfish работает быстрее SHA256/SHA512.
Брешь затрагивает серверы OpenSSH, на которых активирована интерактивная аутентификация keyboard-interactive.
Это уже третья попытка реализации SSH-протокола в PowerShell.