OpenSSH 10.6 renforce sa sécurité

LLéna

OpenSSH 10.6 désactive la compression LZ77 et bloque certains caractères dans les noms d’utilisateur saisis en ligne de commande, selon The New Stack. Le projet réagit ainsi à un risque de fuite de texte en clair : un état de compression partagé entre plusieurs canaux SSH pouvait, dans certaines conditions, aider à récupérer des secrets. Cette attaque suppose toutefois que la compression soit activée, alors qu’elle est désactivée par défaut. Des chercheurs de l’université de la Ruhr à Bochum, Fabian Bäumer et Marcus Brinkmann, ont décrit cette attaque dans une étude sur la récupération de texte en clair à travers un contexte de compression commun à plusieurs canaux SSH. La mise à jour interdit aussi les signes dollar et barre oblique inversée dans les noms d’utilisateur passés en ligne de commande, pour éviter que le shell ne les interprète via des directives comme ProxyCommand et Match exec. Ces deux changements visent à réduire les risques de sécurité en supprimant des comportements qui pouvaient être détournés, selon la configuration utilisée. OpenSSH prévoit également de publier des correctifs plus fréquemment, sans attendre son calendrier habituel. Ce choix intervient alors que des modèles d’intelligence artificielle contribuent davantage à la recherche de vulnérabilités et que des adversaires pourraient découvrir des failles non signalées.