OpenSSH es un conjunto de aplicaciones que permiten realizar comunicaciones cifradas a través de una red, usando el protocolo SSH

Se ha publicado el lanzamiento de OpenSSH 9.3, una implementación abierta de cliente y servidor para trabajar con los protocolos SSH 2.0 y SFTP. La nueva versión de OpenSSH 9.3 llega a corregir algunos problemas de seguridad, ademas de añadir algunas nuevas caracteristicas

Para quienes desconocen de OpenSSH (Open Secure Shell) deben saber que este es un conjunto de aplicaciones que permiten realizar comunicaciones cifradas a través de una red, usando el protocolo SSH. Fue creado como una alternativa libre y abierta al programa Secure Shell, que es software propietario.

Principales novedades de OpenSSH 9.3

En esta nueva versión que se presenta de OpenSSH 9.3 de las nuevas características, es que sshd agrega una opción `sshd -G` que analiza e imprime la configuración efectiva sin intentar cargar claves privadas y realizar otras comprobaciones. Esto permite el uso de la opción antes se han generado claves y para la evaluación de la configuración y verificación por parte de usuarios sin privilegios.

Por la parte de la corrección de errores, se encontró un error lógico en la utilidad ssh-add, por lo que, al agregar claves de tarjetas inteligentes a ssh-agent, las restricciones especificadas con la opción «ssh-add -h» no se pasaban al agente. Como resultado, se agregó una clave al agente, por lo que no se aplicaron restricciones que permitieran conexiones solo desde ciertos hosts.

Otra de las correcciones que se implemento, es el de la vulnerabilidad en la utilidad ssh que podría hacer que los datos se leyeran desde el área de la pila fuera del búfer asignado al procesar respuestas de DNS especialmente diseñadas si la configuración VerifyHostKeyDNS está incluida en el archivo de configuración.

El problema existe en la implementación integrada de la función getrrsetbyname(), que se usa en versiones portátiles de OpenSSH creadas sin usar la biblioteca ldns externa (–with-ldns) y en sistemas con bibliotecas estándar que no admiten getrrsetbyname () llamar. La posibilidad de explotación de la vulnerabilidad, que no sea para iniciar una denegación de servicio para el cliente ssh, se considera improbable.

De las nuevas versiones que se destacan:

• En scp y sftp corrige la corrupción del medidor de progreso en pantallas anchas;
• ssh-add y ssh-keygen usa RSA/SHA256 cuando prueba la usabilidad de claves privadas, ya que algunos sistemas están comenzando a deshabilitar RSA/SHA1 en libcrypto.
• En sftp-server se realizo un arreglo para una fuga de memoria.
• En ssh, sshd y ssh-keyscan se elimino el código de compatibilidad y simplificar lo que queda del protocolo «vestigal».
• Se realizo una corrección en la serie de resultados de análisis estático de Coverity de bajo impacto.
  Estos incluyen varios informados:
  * ssh_config(5), sshd_config(5): mencionar que algunas opciones no son
  primer partido ganado.
  * Registro de reelaboración para las pruebas de regresión. Las pruebas de regresión ahora
  capturar registros separados para cada invocación ssh y sshd en una prueba.
  * ssh(1): hacer que `ssh -Q CASignatureAlgorithms` funcione como página de manual
  dice que debería; bz3532.

Por último cabe destacar, que se puede observar una vulnerabilidad en la biblioteca libskey incluida con OpenBSD, que se usa en OpenSSH. El problema ha estado presente desde 1997 y puede provocar un desbordamiento del búfer en la pila cuando se procesan nombres de host especialmente diseñados.

Finalmente si estás interesado en conocer más al respecto sobre esta nueva versión, puedes consultar los detalles dirigiéndote al siguiente enlace.

¿Como instalar OpenSSH 9.3 en Linux?

Para quienes estén interesados en poder instalar esta nueva versión de OpenSSH en sus sistemas, de momento podrán hacerlo descargando el código fuente de este y realizando la compilación en sus equipos.

Esto es debido a que la nueva versión aún no se ha incluido dentro de los repositorios de las principales distribuciones de Linux. Para obtener el código fuente, puedes hacer desde el siguiente enlace.

Hecha la descarga, ahora vamos a descomprimir el paquete con el siguiente comando:

tar -xvf openssh-9.2.tar.gz

Entramos al directorio creado:

cd openssh-9.2

Y podremos realizar la compilación con los siguientes comandos:

./configure --prefix=/opt --sysconfdir=/etc/ssh
make
make install

from Linux Adictos https://ift.tt/2dyFrb8
via IFTTT

Docker es un proyecto de código abierto que automatiza el despliegue de aplicaciones, está finalizando Docker Free Team

Docker enfureció a los usuarios del plan Free Team después de anunciar hace poco que abandonaría el plan gratuito. A las organizaciones y desarrolladores que utilizan Free Team se les notificó por correo electrónico que tenían un mes para actualizarse a un plan pago o correr el riesgo de que se suspendiera su cuenta y se eliminaran sus imágenes.

Para quienes desconocen de Docker, deben saber que esta es una plataforma de código abierto para desarrollar, enviar y ejecutar aplicaciones. Permite a los desarrolladores y organizaciones separar sus aplicaciones de su infraestructura para que puedan entregar software rápidamente y administrar su infraestructura de la misma manera que administran sus aplicaciones. Y Docker Hub es la biblioteca y comunidad de imágenes de contenedores más grande del mundo. Una imagen de Docker es una forma conveniente de empaquetar aplicaciones y entornos de servidor preconfigurados, que puede usar para su uso privado o compartir con otros usuarios de Docker.

Docker abandona Free Team

Se ha notificado a algunos desarrolladores de código abierto que alojan imágenes de contenedores en el directorio de Docker Hub que el servicio de suscripción «Docker Free Team», que anteriormente se proporcionaba de forma gratuita a las organizaciones que mantienen proyectos de código abierto, está a punto de finalizar. Se mantiene la posibilidad de colocación personal gratuita de imágenes por parte de desarrolladores individuales. Las imágenes con apoyo oficial de los proyectos de código abierto también seguirán alojándose de forma gratuita.

Docker estima que el cambio afectará a alrededor del 2% de los usuarios a los que se les recomienda actualizar a un plan pago ($420 por año) antes del 14 de abril o completar una solicitud para participar en la iniciativa del Programa de código abierto patrocinado por Docker, que permite obtenga acceso gratuito a Docker Hub para proyectos de código abierto actualizados activamente que cumplan con los criterios de Open Source Initiative, desarrollados en repositorios públicos y no reciban beneficios comerciales de sus desarrollos (proyectos que existen en donaciones (pero sin patrocinadores), así como se permiten proyectos de fundaciones sin fines de lucro como Cloud Native Computing Foundation y Apache Foundation)

Existe preocupación en la comunidad de que la eliminación pueda interrumpir el funcionamiento de varias infraestructuras vinculadas a las imágenes de contenedores descargadas de Docker Hub, ya que no se sabe qué imágenes del proyecto se eliminarán (solo se muestra una advertencia sobre la próxima finalización del trabajo en la cuenta personal del propietario de la imagen) y no hay garantía de que la imagen en uso no desaparezca. Debido a esto, se alienta a los proyectos de código abierto que usan Docker Hub a dejar en claro a los usuarios si sus imágenes se mantendrán en Docker Hub o se moverán a otro servicio como GitHub Container Registry.

La ira es más intensa en la comunidad de software de código abierto, ya que corre el riesgo de romper las automatizaciones de compilación para muchos proyectos de código abierto. Los críticos dicen que esto podría afectar las imágenes utilizadas en los scripts de compilación de integración continua.

Docker tiene un nivel gratuito y también ofrece planes de suscripción pagados. Y con su servicio Free Team, la compañía les dio a los usuarios de Docker Hub la capacidad de crear equipos y dar acceso a los miembros a repositorios de imágenes compartidas. Este servicio sería utilizado principalmente por mantenedores de proyectos de código abierto.

Pero con esta decisión los usuarios de Docker con una cuenta Free Team comenzaron a informar que recibieron un correo electrónico de Docker informándoles que pronto ya no podrán usar el servicio y deberán actualizar a una suscripción paga en 30 días bajo pena de perder el acceso a sus datos.

Después del 14 de abril, se limitará el acceso a los repositorios de imágenes públicos y privados y se congelarán las cuentas de las organizaciones (las cuentas personales de los desarrolladores individuales seguirán siendo válidas). En el futuro, durante otros 30 días, los propietarios tendrán la oportunidad de reanudar el acceso después de cambiar a un plan pago, pero luego se eliminarán las imágenes y las cuentas de las organizaciones, y los nombres se reservarán para evitar que los atacantes se vuelvan a registrar.

from Linux Adictos https://ift.tt/Blz5xQ7
via IFTTT

Amazon Linux 2023 es la tercera generación de nuestras distribuciones de Amazon Linux.

Hace poco se dio a conocer el lanzamiento de “Amazon Linux 2023”, siendo esta la primera versión estable de una nueva distribución de propósito general, Amazon Linux 2023 (LTS), que está optimizada para la nube y se integra con las herramientas y características avanzadas de Amazon EC2.

La distribución ha reemplazado al producto Amazon Linux 2 y se distingue por su alejamiento del uso de CentOS como base a favor de la base del paquete Fedora.

La distribución tiene un ciclo de mantenimiento predecible, con nuevos lanzamientos importantes cada dos años, con actualizaciones trimestrales intermedias. Cada versión importante se deriva de la versión actual de Fedora en ese momento. Se planea que los lanzamientos provisionales incluyan nuevas versiones de algunos paquetes populares como Python, Java, Ansible y Docker, pero estas versiones se enviarán en paralelo en un espacio de nombres separado.

Amazon Linux 2023 facilita la planificación y administración del ciclo de vida del sistema operativo . Las nuevas versiones principales de Amazon Linux estarán disponibles cada dos años. Los lanzamientos principales incluyen nuevas funciones y mejoras en la seguridad y el rendimiento en toda la pila. Las mejoras pueden incluir cambios importantes en el kernel, la cadena de herramientas, GLib C, OpenSSL y cualquier otra biblioteca y utilidad del sistema.

El tiempo total de soporte para cada lanzamiento será de cinco años, de los cuales dos años la distribución estará en desarrollo activo y tres años en fase de mantenimiento con la formación de actualizaciones correctivas. El usuario tendrá la oportunidad de vincularse al estado de los repositorios y elegir de forma independiente las tácticas para instalar actualizaciones y cambiar a nuevas versiones.

Amazon Linux 2023 está construido con componentes de Fedora 34, 35 y 36, así como de CentOS Stream 9. La distribución usa su propio kernel, construido sobre el kernel 6.1 LTS y mantenido independientemente de Fedora. Las actualizaciones para el kernel de Linux se lanzan utilizando la tecnología de “parcheo en vivo”, que permite corregir vulnerabilidades y aplicar correcciones importantes al kernel sin reiniciar el sistema.

Durante esos dos años, un lanzamiento principal recibirá una actualización cada tres meses. Estas actualizaciones incluyen actualizaciones de seguridad, correcciones de errores y nuevas funciones y paquetes. Cada versión secundaria es una lista acumulativa de actualizaciones que incluye correcciones de errores y seguridad, además de nuevas funciones y paquetes. Estos lanzamientos pueden incluir los tiempos de ejecución de lenguaje más recientes, como Python o Java. También pueden incluir otros paquetes de software populares como Ansible y Docker. Además de estas actualizaciones trimestrales, se proporcionarán actualizaciones de seguridad tan pronto como estén disponibles.

Además de la transición a la base del paquete Fedora, los cambios más significativos incluyen la inclusión predeterminada del sistema de control de acceso forzado SELinux en el modo de «enforcing» y el uso de funciones avanzadas en el kernel de Linux para mejorar la seguridad, como la verificación del kernel y los módulos por firma digital. La distribución también ha trabajado para optimizar el rendimiento y reducir los tiempos de arranque. Es posible utilizar sistemas de archivos distintos de XFS como sistema de archivos para la partición root.

Cada versión principal, incluida la 2023, vendrá con cinco años de soporte a largo plazo. Después del período inicial de dos años, cada versión principal entra en un período de mantenimiento de tres años. Durante el período de mantenimiento, seguirá recibiendo correcciones de errores de seguridad y parches tan pronto como estén disponibles. Este compromiso de soporte le brinda la estabilidad que necesita para administrar ciclos de vida prolongados de proyectos.

Si estás interesado en poder conocer más al respecto, puedes consultar los detalles en el siguiente enlace.

Obtener Amazon Linux 2023

Finalmente, debes saber que las compilaciones ofrecidas se generan para las arquitecturas x86_64 y ARM64 (Aarch64). Aunque está dirigida principalmente a AWS (Amazon Web Services), la distribución también se presenta en forma de una imagen de máquina virtual genérica que se puede usar en las instalaciones o en otros entornos de nube.

Amazon Linux 2023 no es diferente a otras distribuciones de Linux. Para poder utilizarla deben ejecutar una instanciarun-instancesAPI de EC2, la interfaz de línea de comandos de AWS (AWS CLI) o la consola de administración de AWS y una de las cuatro AMI de Amazon Linux 2023 que se proporciona. 

from Linux Adictos https://ift.tt/GdCpZrP
via IFTTT