OpenSSH es un conjunto de aplicaciones que permiten realizar comunicaciones cifradas a través de una red, usando el protocolo SSH

Se ha publicado el lanzamiento de OpenSSH 9.3, una implementación abierta de cliente y servidor para trabajar con los protocolos SSH 2.0 y SFTP. La nueva versión de OpenSSH 9.3 llega a corregir algunos problemas de seguridad, ademas de añadir algunas nuevas caracteristicas

Para quienes desconocen de OpenSSH (Open Secure Shell) deben saber que este es un conjunto de aplicaciones que permiten realizar comunicaciones cifradas a través de una red, usando el protocolo SSH. Fue creado como una alternativa libre y abierta al programa Secure Shell, que es software propietario.

Principales novedades de OpenSSH 9.3

En esta nueva versión que se presenta de OpenSSH 9.3 de las nuevas características, es que sshd agrega una opción `sshd -G` que analiza e imprime la configuración efectiva sin intentar cargar claves privadas y realizar otras comprobaciones. Esto permite el uso de la opción antes se han generado claves y para la evaluación de la configuración y verificación por parte de usuarios sin privilegios.

Por la parte de la corrección de errores, se encontró un error lógico en la utilidad ssh-add, por lo que, al agregar claves de tarjetas inteligentes a ssh-agent, las restricciones especificadas con la opción «ssh-add -h» no se pasaban al agente. Como resultado, se agregó una clave al agente, por lo que no se aplicaron restricciones que permitieran conexiones solo desde ciertos hosts.

Otra de las correcciones que se implemento, es el de la vulnerabilidad en la utilidad ssh que podría hacer que los datos se leyeran desde el área de la pila fuera del búfer asignado al procesar respuestas de DNS especialmente diseñadas si la configuración VerifyHostKeyDNS está incluida en el archivo de configuración.

El problema existe en la implementación integrada de la función getrrsetbyname(), que se usa en versiones portátiles de OpenSSH creadas sin usar la biblioteca ldns externa (–with-ldns) y en sistemas con bibliotecas estándar que no admiten getrrsetbyname () llamar. La posibilidad de explotación de la vulnerabilidad, que no sea para iniciar una denegación de servicio para el cliente ssh, se considera improbable.

De las nuevas versiones que se destacan:

• En scp y sftp corrige la corrupción del medidor de progreso en pantallas anchas;
• ssh-add y ssh-keygen usa RSA/SHA256 cuando prueba la usabilidad de claves privadas, ya que algunos sistemas están comenzando a deshabilitar RSA/SHA1 en libcrypto.
• En sftp-server se realizo un arreglo para una fuga de memoria.
• En ssh, sshd y ssh-keyscan se elimino el código de compatibilidad y simplificar lo que queda del protocolo «vestigal».
• Se realizo una corrección en la serie de resultados de análisis estático de Coverity de bajo impacto.
  Estos incluyen varios informados:
  * ssh_config(5), sshd_config(5): mencionar que algunas opciones no son
  primer partido ganado.
  * Registro de reelaboración para las pruebas de regresión. Las pruebas de regresión ahora
  capturar registros separados para cada invocación ssh y sshd en una prueba.
  * ssh(1): hacer que `ssh -Q CASignatureAlgorithms` funcione como página de manual
  dice que debería; bz3532.

Por último cabe destacar, que se puede observar una vulnerabilidad en la biblioteca libskey incluida con OpenBSD, que se usa en OpenSSH. El problema ha estado presente desde 1997 y puede provocar un desbordamiento del búfer en la pila cuando se procesan nombres de host especialmente diseñados.

Finalmente si estás interesado en conocer más al respecto sobre esta nueva versión, puedes consultar los detalles dirigiéndote al siguiente enlace.

¿Como instalar OpenSSH 9.3 en Linux?

Para quienes estén interesados en poder instalar esta nueva versión de OpenSSH en sus sistemas, de momento podrán hacerlo descargando el código fuente de este y realizando la compilación en sus equipos.

Esto es debido a que la nueva versión aún no se ha incluido dentro de los repositorios de las principales distribuciones de Linux. Para obtener el código fuente, puedes hacer desde el siguiente enlace.

Hecha la descarga, ahora vamos a descomprimir el paquete con el siguiente comando:

tar -xvf openssh-9.2.tar.gz

Entramos al directorio creado:

cd openssh-9.2

Y podremos realizar la compilación con los siguientes comandos:

./configure --prefix=/opt --sysconfdir=/etc/ssh
make
make install

from Linux Adictos https://ift.tt/2dyFrb8
via IFTTT

Docker es un proyecto de código abierto que automatiza el despliegue de aplicaciones, está finalizando Docker Free Team

Docker enfureció a los usuarios del plan Free Team después de anunciar hace poco que abandonaría el plan gratuito. A las organizaciones y desarrolladores que utilizan Free Team se les notificó por correo electrónico que tenían un mes para actualizarse a un plan pago o correr el riesgo de que se suspendiera su cuenta y se eliminaran sus imágenes.

Para quienes desconocen de Docker, deben saber que esta es una plataforma de código abierto para desarrollar, enviar y ejecutar aplicaciones. Permite a los desarrolladores y organizaciones separar sus aplicaciones de su infraestructura para que puedan entregar software rápidamente y administrar su infraestructura de la misma manera que administran sus aplicaciones. Y Docker Hub es la biblioteca y comunidad de imágenes de contenedores más grande del mundo. Una imagen de Docker es una forma conveniente de empaquetar aplicaciones y entornos de servidor preconfigurados, que puede usar para su uso privado o compartir con otros usuarios de Docker.

Docker abandona Free Team

Se ha notificado a algunos desarrolladores de código abierto que alojan imágenes de contenedores en el directorio de Docker Hub que el servicio de suscripción «Docker Free Team», que anteriormente se proporcionaba de forma gratuita a las organizaciones que mantienen proyectos de código abierto, está a punto de finalizar. Se mantiene la posibilidad de colocación personal gratuita de imágenes por parte de desarrolladores individuales. Las imágenes con apoyo oficial de los proyectos de código abierto también seguirán alojándose de forma gratuita.

Docker estima que el cambio afectará a alrededor del 2% de los usuarios a los que se les recomienda actualizar a un plan pago ($420 por año) antes del 14 de abril o completar una solicitud para participar en la iniciativa del Programa de código abierto patrocinado por Docker, que permite obtenga acceso gratuito a Docker Hub para proyectos de código abierto actualizados activamente que cumplan con los criterios de Open Source Initiative, desarrollados en repositorios públicos y no reciban beneficios comerciales de sus desarrollos (proyectos que existen en donaciones (pero sin patrocinadores), así como se permiten proyectos de fundaciones sin fines de lucro como Cloud Native Computing Foundation y Apache Foundation)

Existe preocupación en la comunidad de que la eliminación pueda interrumpir el funcionamiento de varias infraestructuras vinculadas a las imágenes de contenedores descargadas de Docker Hub, ya que no se sabe qué imágenes del proyecto se eliminarán (solo se muestra una advertencia sobre la próxima finalización del trabajo en la cuenta personal del propietario de la imagen) y no hay garantía de que la imagen en uso no desaparezca. Debido a esto, se alienta a los proyectos de código abierto que usan Docker Hub a dejar en claro a los usuarios si sus imágenes se mantendrán en Docker Hub o se moverán a otro servicio como GitHub Container Registry.

La ira es más intensa en la comunidad de software de código abierto, ya que corre el riesgo de romper las automatizaciones de compilación para muchos proyectos de código abierto. Los críticos dicen que esto podría afectar las imágenes utilizadas en los scripts de compilación de integración continua.

Docker tiene un nivel gratuito y también ofrece planes de suscripción pagados. Y con su servicio Free Team, la compañía les dio a los usuarios de Docker Hub la capacidad de crear equipos y dar acceso a los miembros a repositorios de imágenes compartidas. Este servicio sería utilizado principalmente por mantenedores de proyectos de código abierto.

Pero con esta decisión los usuarios de Docker con una cuenta Free Team comenzaron a informar que recibieron un correo electrónico de Docker informándoles que pronto ya no podrán usar el servicio y deberán actualizar a una suscripción paga en 30 días bajo pena de perder el acceso a sus datos.

Después del 14 de abril, se limitará el acceso a los repositorios de imágenes públicos y privados y se congelarán las cuentas de las organizaciones (las cuentas personales de los desarrolladores individuales seguirán siendo válidas). En el futuro, durante otros 30 días, los propietarios tendrán la oportunidad de reanudar el acceso después de cambiar a un plan pago, pero luego se eliminarán las imágenes y las cuentas de las organizaciones, y los nombres se reservarán para evitar que los atacantes se vuelvan a registrar.

from Linux Adictos https://ift.tt/Blz5xQ7
via IFTTT