OpenSSH 10.4 behebt Sicherheitslücken und führt experimentelle Post-Quanten-Signaturen ein
OpenSSH 10.4/10.4p1 Released
OpenSSH 10.4 ist erschienen und bringt neben allgemeinen Fehlerbehebungen auch mehrere Sicherheitskorrekturen mit sich. So verhindert die neue Version, dass ein bösartiger Server Dateien an unerwartete Orte schreibt oder in übergeordnete Verzeichnisse kopiert. Zudem wird ein möglicher Use-after-Free bei einem Host-Key-Wechsel behoben. Neu ist die experimentelle Unterstützung für ein Post-Quanten-Signaturschema, das ML-DSA 44 mit Ed25519 kombiniert. Diese Funktion ist standardmäßig deaktiviert und muss explizit konfiguriert werden.
Bei der Verwendung des "internal-sftp"-SFTP-Servers (nicht die Standardeinstellung) wurden lange Befehlszeilen bisher stillschweigend nach dem 9. Argument abgeschnitten; befand sich eine sicherheitsrelevante Option an 10. oder späterer Stelle, wurde sie verworfen.