OpenSSH 10.5 发布，欢迎 AI 修复

OpenSSH 10.5 于 2026 年 8 月 11 日发布。它可以从 https://www.openssh.com/ 列出的镜像中获得。 OpenSSH 是 100% 完整的 SSH 协议 2.0 实现，包括 sftp 客户端和服务器支持。最近，OpenSSH 团队收到了大量安全错误报告，其中许多是 AI 模型的发现或在 AI 辅助下得出的结果。虽然许多人工智能报告被确定在现实威胁模型的背景下不会产生安全影响，但我们非常欢迎这些报告，特别是与人工分类、分析、测试用例相结合，特别是与建议的修复程序相结合时。我们已经看到很多案例，人工智能工具识别出的安全漏洞随后被不同的研究人员独立发现。这表明不向 OSS 项目报告错误的对手也可能能够发现这些错误。鉴于此，OpenSSH 团队目前将更频繁地发布版本，以便更快地将错误修复交付给用户，而不是在下一个计划发布之前批量发布。我们再次感谢 OpenSSH 社区对该项目的持续支持，特别是那些贡献代码或补丁、报告错误、测试快照或向该项目捐赠的人们。有关捐赠的更多信息，请访问：https://www.openssh.com/donations.html 潜在不兼容的更改 -------------------------------- * 便携式 OpenSSH 现在需要 libcrypto 中的 ECC（椭圆曲线加密）支持，包括对 NISTP521 曲线的支持。 ECC 包含在 OpenSSH 当前支持的所有 libcrypto 实现的所有版本的默认构建配置中，包括 LibreSSL、OpenSSL、BoringSSL 和 AWS LC。 --without-openssl 构建配置不受影响。自 OpenSSH 10.4 以来的更改============================ 此版本包含许多安全修复和小错误修复。安全性 ======== * ssh-agent(1) ：修复代理锁定和用于识别转发代理的 session-bind@op​​enssh.com 扩展之间的交互。当代理被锁定时，这些绑定请求被拒绝，导致原本仅限于本地使用的操作只能远程执行，包括添加 PKCS#11 令牌和使用应用了目的地限制的密钥的能力。由 sn0x-sharma * ssh(1) 报告：如果在服务器等待远程转发打开请求时通过本地会话多路复用套接字添加远程转发，则避免客户端中潜在的重新分配使用后释放。 Cognatory * sshd(8) 的 Brian Mingus 的报告和修复：使authorized_keys“restrict”关键字也正确应用于隧道转发（默认情况下在管理上禁用）。中国科学院计算技术研究所 Ericchen 报道 新功能 ------------ * ssh-keygen(1) ：添加在重置私钥密码时设置或清除 FIDO 私钥上的需要触摸和需要验证标志的功能。 * ssh(1) ：调整在 pubkey 身份验证期间尝试的证书顺序，以优先选择不需要用户存在（触摸）的 FIDO 密钥，以及最后需要通过 PIN 或生物识别进行用户验证的 FIDO 密钥。这可以有效地在高摩擦验证器之前尝试低摩擦验证器。 * ssh(1) ：添加“ssh -Z user@host”模式，该模式按使用顺序打印将尝试进行公钥身份验证的密钥。 * sshd(8) 在充当身份验证后监视器时使用 setproctitle(3) 来识别 sshd 会话。错误修复 -------- * ssh-keyscan(1) ：使读取服务器横幅成为非阻塞操作，以防止卡住的服务器阻止多主机密钥扫描的进行。 * sshd(8) ：对于数据包代码中的错误，使用 sshpkt_fatal() 而不是普通的 fatal()，因为这提供了失败对等点的上下文（地址、端口、用户等）。 * sshd(8) ：为客户端 UpdateHostKeys 请求签署主机密钥证明时，允许每个主机密钥最多执行一次签名操作。 * sshd(8) 修复 GSSAPI 选项名称，该名称在 openssh-10.4 中的 servconf.c 重构过程中被破坏； bz3974。 * ssh-keygen(1) ：传回 ed25519 密钥生成的错误，理论上可能会失败。 GHPR702。 * sshd(8) ：将针对允许的算法的公钥类型检查移至解析对等方发送的密钥之前。这从预身份验证攻击面中删除了至少一些关键解析和验证路径。由 Anthropic 的 Christopher Paul Rohlf 建议。 * ssh-keygen(1) ：修复双重释放（无法到达测试工具之外），并在可能的情况下使用 freezero。来自 Anthropic 的 Christopher Paul Rohlf。 * sshd(8) ：修复 ChannelTimeout 和 RekeyLimit 未应用于 sshd_config Match 块中的问题。 * sshd(8) ：在 sshd 配置转储模式下，以混合大小写形式编写所有指令以保持一致性 可移植性 ----------- * sshd(8) ：在 Match 块内重新允许 PAMServiceName