Разработчики исправили серьезную уязвимость в OpenSSH

Олег Иванов 14 Ноября 2017 - 12:20

...

Разработчики исправили серьезную уязвимость в OpenSSH

Уязвимость OpenSSH была обнаружена экспертом Михал Залевски (Michal Zalewski) в файле-исходнике sftp-server.c, она затрагивает версии OpenSSH с 5.5 по 7.6.

Как можно видеть в коде, приведенном ниже, если SFTP-сервер стартует с параметром –R, он будет включать переменную «readonly». Это означает, что клиентам не разрешено записывать операции.

int
sftp_server_main(int argc, char **argv, struct passwd *user_pw)
{
   ...
    while (!skipargs && (ch = getopt(argc, argv,
        "d:f:l:P:p:Q:u:cehR")) != -1) {
        switch (ch) {
    ...
        case 'R':
            readonly = 1;
            break;
    ...
}

Открытие файла для SFTP-сервера выполняется с помощью вспомогательной функции process_open(), которая открывает доступные только для чтения файлы:

static void
process_open(u_int32_t id)
{
    ...
    if (readonly &&
        ((flags & O_ACCMODE) == O_WRONLY ||
        (flags & O_ACCMODE) == O_RDWR) != 0)) {
        verbose("Refusing open request in read-only mode");
        status = SSH2_FX_PERMISSION_DENIED;
    } else {
        fd = open(name, flags, mode);
    ...
}

Здесь можно увидеть, что если «readonly» активирован, будет осуществляться проверка наличия «WRITE ONLY» или «READ/WRITE». Если это условие удовлетворено, будет выведена ошибка открытия файла в режиме read-only.

В противном случае файл будет открыт с использованием системного вызова open(). Залевски использовал эти параметры для создания произвольных read-only-файлов на SFTP-сервере. Чтобы исправить эту брешь, только для чтения. Чтобы исправить это, разработчики.

Код патча можно увидеть ниже:

if (readonly &&
-       ((flags & O_ACCMODE) == O_WRONLY ||
-       (flags & O_ACCMODE) == O_RDWR)) {
+       ((flags & O_ACCMODE) != O_RDONLY ||
+       (flags & (O_CREAT|O_TRUNC)) != 0)) {
        verbose("Refusing open request in read-only mode");

Следующая главная новость »

Secrets Management 2026: где на самом деле сливаются ключи? Регистрируйтесь на эфир AM Live!

Екатерина Быстрова 18 Февраля 2026 - 09:28

Соответствие законодательству РФ Домашние пользователи Государство

Россиянам могут отключить домашний интернет за отказ от оптики

Минцифры готовит изменения, которые могут напрямую затронуть пользователей домашнего интернета. В проекте постановления от 17 февраля ведомство предлагает разрешить операторам связи отключать абонентов, если те не соглашаются на замену медных линий на оптоволокно.

Как сообщают «РИА Новости», документ предполагает корректировку правил оказания услуг по передаче данных, телематических сервисов и местной телефонной связи.

Суть нововведения проста: если провайдер решил перевести дом или квартиру с «меди» на оптику, отказаться без последствий уже не получится.

Оператор обязан предупредить абонента минимум за 90 дней до начала работ. Пользователь сможет выбрать удобные дату и время. Но если он не пустит специалистов в помещение или не обеспечит подключение оборудования к электропитанию, компания получит право сначала приостановить оказание услуг, а затем и вовсе расторгнуть договор в одностороннем порядке.

В пояснительных материалах к проекту говорится, что обслуживать старые медные линии в четыре раза дороже, чем оптоволоконные. Кроме того, аварийно-восстановительные работы на таких сетях обходятся значительно затратнее. По мнению авторов инициативы, дальнейшее содержание устаревшей инфраструктуры ведёт к росту стоимости услуг для всех абонентов.

При этом расходы на замену линий, а их Минцифры оценивает примерно в 3 млрд рублей, лягут на самих провайдеров. Предполагается, что новые правила вступят в силу с 1 сентября 2026 года. Под их действие могут попасть более 1,1 тысячи операторов связи и около 5,8 млн абонентов по всей стране.

Интересно, что на фоне этих планов рынок оптоволокна сейчас переживает спад. В ноябре сообщалось, что за первое полугодие 2025 года производство оптоволоконного кабеля в натуральном выражении сократилось на 25%, а в денежном — на 17%. Участники рынка связывали это со снижением капитальных затрат операторов на новые проекты и с ценовой конкуренцией с китайскими производителями, чью продукцию субсидирует государство.

Если документ будет принят, переход на оптику из добровольного постепенно станет обязательным.

Secrets Management 2026: где на самом деле сливаются ключи? Регистрируйтесь на эфир AM Live!