Версия OpenSSH 10.3

2 апреля 2026 года состоялся релиз открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP — инструмента OpenSSH 10.3. В новой версии главным образом исправлены ошибки и баги, обнаруженные после выхода предыдущей стабильной сборки, а также обновлены компоненты и подготовлены патчи для уязвимостей.

9 апреля 2025 года вышла версия OpenSSH 10.0, где была полностью удалена поддержка алгоритма подписи DSA, добавлена возможность использования постквантового алгоритма mlkem768×25 519-sha256 для согласования ключей по умолчанию, а также появилась поддержка активации systemd‑style socket в Portable OpenSSH.

По информации OpenNET, основные изменения и доработки в OpenSSH 10.3:

• устранена уязвимость, позволяющая атакующему, контролирующему имя пользователя, передаваемое при запуске утилиты ssh, потенциально добиться выполнения произвольных shell‑команд. Уязвимость проявляется в системах, использующих подстановку «%u» в некоторых директивах файла конфигурации, таких как «Match exec». Проблем вызвана проверкой спецсимволов в имени пользователя на стадии после выполнения%‑подстановок в файле конфигурации ssh_config;

• устранена задача с безопасностью в sshd, вызванная некорректным сопоставлением опции authorized_keys principals="" со списком имён (principal) в сертификате в ситуации, когда в именах указан символ ",". Для эксплуатации уязвимости необходимо, чтобы в опции authorized_keys principals="" было указано несколько имён и чтобы удостоверяющий центр выписал сертификат с несколькими именами, разделёнными запятой (обычно такое недопускается). Изменено поведение в отношении сертификатов с пустым именем - ранее пустое имя подпадало под все опции authorized_keys principals="", а теперь не подпадает;

• в scp устранена проблема, из‑за которой после загрузки файла с правами root с указанием опции «‑O» и без опции «‑p» не очищались флаги setuid/setgid;

• в sshd исправлена проблема с обработкой ключей ECDSA в директивах PubkeyAcceptedAlgorithms и HostbasedAcceptedAlgorithms, из‑за которой в случае указания любого алгоритма ECDSA (например, «ecdsa‑sha2-nistp384») начинали приниматься и все остальные алгоритмы на базе ECDSA, даже если они явно не перечислены в списке допустимых;

• в ssh и sshd при взаимодействии c SSH‑агентами добавлена поддержка идентификаторов (codepoint), определённых IANA в спецификации draft‑ietf‑sshm‑ssh‑agent. Поддержка ранее используемых идентификаторов вида «@openssh.com» сохранена;

• в ssh‑agent реализовано плагин «query», определённое в спецификации draft‑ietf‑sshm‑ssh‑agent и позволяющее определить поддерживаемые агентом функции. Для запроса списка поддерживаемых расширений протокола через запрос «query» в утилиту ssh‑add добавлена функция «‑Q»;

• в sshd_config разрешено указание нескольких файлов в директиве RevokedKeys, а в ssh_config — в директиве RevokedHostKeys;

• в ssh добавлена escape‑команда «~I» и функция «‑O conninfo» для показа информации о текущем соединении, а также опция «‑O channels» для показа данные об открытых каналах;

• в sshd в директиве PerSourcePenalties реализована функция 'invaliduser' для добавления задержки в случае попытки входа под несуществующим пользователем (по умолчанию 5-секунд). Добавлена возможность указания нецелых значений задержки;

• в sshd добавлена опция GSSAPIDelegateCredentials для управления приёмом делегированных учётных данных, предоставленных клиентом;

• в ssh‑keygen добавлена поддержка записи ключей ED25519 в формате PKCS8;

• добавлена поддержка схемы цифровых подписей ed25519, реализованная через libcrypto.