更新后的 openssh 程序包修复了多种安全问题和多个缺陷并添加了多种增强，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

OpenSSH 是 OpenBSD 的 SSH (Secure Shell) 协议实现。这些程序包包含 OpenSSH 客户端和服务器都必需具有的核心文件。

在使用权限分离时 OpenSSH 处理 PAM 认证的方式中发现一个缺陷。如果系统中的攻击者具备有效凭据，且能够利用其他缺陷攻破一个非特权预认证进程，则可以利用此缺陷冒充其他用户进行认证。(CVE-2015-6563)

在 OpenSSH 中发现一个释放后使用缺陷。如果攻击者可以利用其他缺陷攻破一个非特权预认证进程，则可能造成 sshd 崩溃，或者以 root 权限执行任意代码。(CVE-2015-6564)

已发现 OpenSSH sshd 后台程序未检查用于重复的键盘交互认证方法的列表。远程攻击者可利用此缺陷绕过 MaxAuthTries 限制，从而更容易执行密码猜测攻击。(CVE-2015-5600)

已发现 OpenSSH ssh-agent（用于为公钥认证保留私钥的程序）易遭受密码猜测攻击。如果攻击者能够连接到该代理，则可利用此缺陷进行蛮力攻击，以解锁 ssh-agent 中的密钥。(BZ#1238238)

此更新修复了以下缺陷：

* 以前，sshd_config(5) 手册页存在误导性内容，使用户感到困惑。此次更新优化了手册页的文本，使其能够清楚地描述 AllowGroups 功能。(BZ#1150007)

* 以前，将用于限制使用通配符 (*) 列出的文件数量的函数设置得过小，该函数可针对服务器和客户端防止拒绝服务 (DoS)。
因此，如果用户达到该限制，则该用户无法通过安全文件传送协议 (SFTP) 列出包含大量文件的目录。此次更新提高了上述限制，进而修复了该缺陷。(BZ#1160377)

* 如果使用具有伪终端的 ForceCommand 选项，且 MaxSession 已设置为“2”，则多路复用 SSH 连接不能正常工作。在用户尝试打开第二个多路复用连接时，如果第一个链接仍处于打开状态，则该尝试会失败。此次更新将 OpenSSH 修改为针对每个会话仅发出一条审计消息，因此用户可以在这种情况下打开两个多路复用连接。(BZ#1199112)

* 如果远程服务器上的帐户不使用 sh-like shell，则 ssh-copy-id 实用工具会失败。已将远程命令修改为在 sh-like shell 中运行，现在 ssh-copy-id 可以与非 sh-like shell 一起使用。(BZ#1201758)

* 由于使用 ControlMaster 多路复用时，审计消息和应答之间存在争用条件，共享连接中的一个会话会随机意外退出连接。此次更新修复了审计代码中的争用条件，现在即使同时创建的多个会话多路复用连接也可以正常工作。
(BZ#1240613)

此外，此更新还添加了以下增强：

* 由于并非所有轻型目录访问协议 (LDAP) 服务器都与 ssh-ldap-helper 程序所预期的一样具有默认方案，此次更新使用户可以调整 LDAP 查询，从具备不同方案的服务器获取公钥，同时不影响默认功能。(BZ#1201753)

* 通过此次增强更新，管理员可以针对使用安全文件传送协议 (SFTP) 上传的文件设置权限。(BZ#1197989)

* 此次更新以 LDAP 数据交换格式 (LDIF) 提供了 LDAP 方案，用于补足之前 OpenLDAP 接受的旧方案。(BZ#1184938)

* 通过此更新，用户可以像处理正常密钥交换一样有选择性地禁用 Generic Security Services API (GSSAPI) 密钥交换算法。(BZ#1253062)

建议 openssh 用户升级这些更新后的程序包，其中修正了这些问题并添加这些增强。

检测

CentOS 7：openssh (CESA-2015:2088)

high Nessus 插件 ID 87128

未找到变更日志