更新后的 openssh 程序包修复了两个安全问题和若干缺陷，并添加了多种增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

OpenSSH 是 OpenBSD 的 SSH (Secure Shell) 协议实现。这些程序包包含 OpenSSH 客户端和服务器都必需具有的核心文件。

已发现 OpenSSH 客户端未正确验证 DNS SSHFP 记录。恶意服务器可利用此缺陷强制连接客户端以跳过 DNS SSHFP 记录检查，并要求用户对 DNS SSHFP 记录执行手动主机验证。
(CVE-2014-2653)

已发现 OpenSSH 未正确处理含通配符的特定 AcceptEnv 参数值。远程攻击者可利用此缺陷绕过预期的环境变量限制。
(CVE-2014-2532)

此更新还修复以下缺陷：

* 基于 SP800-131A 信息安全标准，2013 年之后不允许使用密钥大小为 1024 位的数字签名算法 (DSA) 和密钥大小小于 2048 位的 RSA 生成数字签名。此更新后，ssh-keygen 不会再在 FIPS 模式中生成小于 2048 位的密钥。但是，出于兼容性原因，sshd 服务会接受大小为 1024 位的密钥以及更大的密钥。(BZ#993580)

* 以前，openssh 实用工具错误地将其所有子进程的 oom_adj 值都设为 -17。此行为不正确，因为子进程应将该值设为 0。此更新应用修补程序以修复该缺陷，并且现在已按预期将所有子进程的 oom_adj 正确设为 0。(BZ#1010429)

* 以前，如果 sshd 服务无法使用 fipscheck 库验证安装的 FIPS 模块的校验和，那么只会在 sshd 的标准错误输出中提供关于此故障的信息。因此，在没有为 FIPS 模式正确地配置系统时，用户无法注意到此消息，也不会收到通知。要修复此缺陷，已对此行为进行更改，sshd 现在会通过 syslog 服务发送此类消息。(BZ#1020803)

* 使用“ssh-add -e”命令从 ssh 代理删除 pkcs11 库提供的密钥时，会提示用户输入 PIN。通过此更新，会应用修补程序以允许用户在不提供 PIN 的情况下删除 pkcs11 提供的密钥。(BZ#1042519)

此外，此更新还添加了以下增强：

* 通过此更新，已将 ControlPersist 添加到 OpenSSH。与 ControlMaster 配置指令配合使用的选项指出，在关闭初始客户端连接之后，主连接在后台中保持打开状态。(BZ#953088)

* 将 sshd 后台程序配置为强制执行内部 SFTP 会话，并且用户尝试使用 SFTP 之外的连接时，会将相应的消息记录到 /var/log/secure 文件。
(BZ#997377)

* 正如 RFC5656 所指定，openssh 程序包中已添加了对用于密钥交换 (ECDH) 和主机用户密钥 (ECDSA) 的椭圆曲线加密模式的支持。但是，默认情况下不会启用该支持，用户需要对其进行手动启用。有关如何使用 OpenSSH 配置 ECDSA 和 ECDH 的详细信息，请参阅：https://access.redhat.com/solutions/711953 (BZ#1028335)

建议所有 openssh 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并且添加了上述增强。

检测

CentOS 6：openssh (CESA-2014:1552)

medium Nessus 插件 ID 79184

未找到变更日志