「OpenSSH 10.4／10.4p1」リリース ─ 複数のセキュリティ問題を修正

　The OpenBSD Projectは7月6日(現地時間)、「OpenSSH 10.4/10.4p1」をリリースした。

　「OpenSSH」は、SSHプロトコルを利用したリモートログイン、コマンド実行、ポート転送、ファイル転送などの機能を提供するオープンソースソフトウェア。SSHクライアントおよびサーバに加え、SFTPやSCPなどのツールを同梱している。

　「OpenSSH 10.4／10.4p1」では、悪意あるSFTP／SCPサーバによる意図しない場所へのファイル書き込み、認証前のDoS、クライアント側のuse-after-freeなど、複数のセキュリティ問題が修正された。また、ML-DSA 44とEd25519を組み合わせた実験的な耐量子署名方式が追加されている。

　「OpenSSH 10.4／10.4p1」のハイライトは次の通り。
〇悪意あるSFTPサーバによってファイルが意図しない場所へ保存される問題を修正
〇リモート間でSCP転送する際、悪意あるサーバが転送先の親ディレクトリへファイルを書き込める問題を修正
〇internal-sftpで10番目以降の引数が破棄され、セキュリティ関連オプションが適用されない可能性がある問題を修正
〇DisableForwarding=yesがPermitTunnel=yesを無効化しない問題を修正
〇GSSAPIAuthentication有効時に認証前DoSが発生する可能性がある問題を修正
〇最小認証遅延が適用されない複数の問題を修正
〇鍵の再交換中にサーバがホスト鍵を変更した場合、クライアント側でuse-after-freeが発生する可能性がある問題を修正
〇ML-DSA 44とEd25519を組み合わせた実験的な署名方式を追加
〇ワイルドカードのパターン照合処理をNFAベースの実装へ変更
〇LinuxでseccompまたはNO_NEW_PRIVSを有効化できない場合、sshdを終了するよう変更
など。

　「OpenSSH 10.4/10.4p1」は、Webサイトからダウンロードできる。

(川原 龍人/びぎねっと)

[関連リンク]
リリースノート
OpenSSH