Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.
Dein wichtigstes Server-Werkzeug hat frische Rüstung bekommen: OpenSSH 10.4 ist seit dem 6. Juli verfügbar — mit einem ganzen Bündel an Sicherheits-Patches, härterem Protokollverhalten und einem ersten Schritt Richtung Quanten-Zukunft. Wir zeigen dir, was drinsteckt und worauf du beim Update achten musst.
GESTOPFT: Diese Lücken sind jetzt dicht
Gleich mehrere Kern-Werkzeuge bekamen Fixes: In sftp konnten bösartige Server heruntergeladene Dateien an unerwartete Orte umleiten, in scp bei Remote-zu-Remote-Kopien sogar außerhalb des Zielverzeichnisses schreiben. Der SSH-Daemon sshd verschluckte bei „internal-sftp“ still sicherheitsrelevante Optionen ab dem zehnten Argument, und Mindest-Verzögerungen bei der Authentifizierung ließen sich umgehen — gemeldet vom Orange-Cyberdefense-Team.
Dazu kommen ein Fix für eine Pre-Auth-Denial-of-Service-Schwachstelle rund um GSSAPIAuthentication und ein Client-seitiger Use-after-free, der auslöste, wenn ein Server mitten in der Session seinen Host-Key wechselt. Auch Out-of-Bounds-Reads in sftp und die Bounds-Checks im Krypto-Signiercode wurden nachgezogen — insgesamt ein Release, das du nicht liegen lassen solltest.
ACHTUNG, Breaking Changes: Das kann dein Setup brechen
OpenSSH 10.4 zieht die Schrauben bewusst an — mit drei Änderungen, die Bestands-Setups treffen können. Erstens: Das Transportprotokoll trennt jetzt Gegenstellen, die während des Schlüssel-Re-Exchange nach der Authentifizierung Nicht-KEX-Nachrichten senden — das schließt einen Speicherfresser-Trick. Zweitens: Auf Linux sind seccomp-Sandbox-Fehler jetzt fatal statt nur geloggt; Systeme ohne die nötigen Kernel-Features müssen Sandboxing explizit beim Build deaktivieren. Drittens, klein aber gemein für Automatisierung: sshd -G gibt Direktiven jetzt in Mixed-Case aus — Skripte, die auf Kleinschreibung matchen, laufen ins Leere.
ZUKUNFTS-SCHUTZ: Post-Quanten-Signaturen zum Ausprobieren
Das Highlight für Krypto-Fans: OpenSSH 10.4 bringt experimentelle Unterstützung für ein kombiniertes Post-Quanten-Signaturverfahren aus ML-DSA 44 und Ed25519, nach dem Draft „mldsa44-ed25519-composite-sigs“. Es ist bewusst NICHT standardmäßig aktiv: Du brauchst explizite Konfiguration und Schlüssel via ssh-keygen -t mldsa44-ed25519. Für Produktionsumgebungen zu früh, fürs Homelab-Testen genau richtig.
Nette Extras obendrauf: Ein neuer NFA-basierter Wildcard-Matcher beseitigt exponentielle Worst-Cases beim Pattern-Matching, und die Fixes rund um FIDO-Token-Schlüssel machen Hardware-Keys wieder zuverlässiger. Wenn du deinen SSH-Zugang ohnehin härten willst: Ein Hardware-Schlüssel wie der YubiKey 5 NFC* macht aus deinem Login eine Zwei-Faktor-Festung — OpenSSH unterstützt FIDO2-Keys nativ.
FAZIT: Update ja — aber mit Blick auf die Skripte
OpenSSH 10.4 ist ein solides Wartungs-Release mit echten Sicherheitsgewinnen. Spiel es zeitnah ein, prüfe danach aber Automatisierung und Monitoring auf die Mixed-Case-Ausgabe und teste Verbindungen von älteren Clients. Die Quellpakete openssh-10.4.tar.gz und openssh-10.4p1.tar.gz findest du auf den offiziellen Mirrors samt Checksummen.
Häufige Fragen
Was ist neu in OpenSSH 10.4?
Lohnt sich das Update sofort oder kann ich warten?
Bricht das Update bestehende Konfigurationen?
Wie aktiviere ich die Post-Quanten-Signaturen?
Quellen: Cyber Security News · OpenSSH.org