#Linux & Open Source · 4 Min. Lesezeit · Tim Rinkel

UPDATE-PFLICHT! OpenSSH 10.4 stopft gleich MEHRERE Lücken — und bringt Quanten-Schutz auf deinen Server

UPDATE-PFLICHT! OpenSSH 10.4 stopft gleich MEHRERE Lücken — und bringt Quanten-Schutz auf deinen Server

Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.

Dein wichtigstes Server-Werkzeug hat frische Rüstung bekommen: OpenSSH 10.4 ist seit dem 6. Juli verfügbar — mit einem ganzen Bündel an Sicherheits-Patches, härterem Protokollverhalten und einem ersten Schritt Richtung Quanten-Zukunft. Wir zeigen dir, was drinsteckt und worauf du beim Update achten musst.

GESTOPFT: Diese Lücken sind jetzt dicht

Gleich mehrere Kern-Werkzeuge bekamen Fixes: In sftp konnten bösartige Server heruntergeladene Dateien an unerwartete Orte umleiten, in scp bei Remote-zu-Remote-Kopien sogar außerhalb des Zielverzeichnisses schreiben. Der SSH-Daemon sshd verschluckte bei „internal-sftp“ still sicherheitsrelevante Optionen ab dem zehnten Argument, und Mindest-Verzögerungen bei der Authentifizierung ließen sich umgehen — gemeldet vom Orange-Cyberdefense-Team.

Dazu kommen ein Fix für eine Pre-Auth-Denial-of-Service-Schwachstelle rund um GSSAPIAuthentication und ein Client-seitiger Use-after-free, der auslöste, wenn ein Server mitten in der Session seinen Host-Key wechselt. Auch Out-of-Bounds-Reads in sftp und die Bounds-Checks im Krypto-Signiercode wurden nachgezogen — insgesamt ein Release, das du nicht liegen lassen solltest.

ACHTUNG, Breaking Changes: Das kann dein Setup brechen

OpenSSH 10.4 zieht die Schrauben bewusst an — mit drei Änderungen, die Bestands-Setups treffen können. Erstens: Das Transportprotokoll trennt jetzt Gegenstellen, die während des Schlüssel-Re-Exchange nach der Authentifizierung Nicht-KEX-Nachrichten senden — das schließt einen Speicherfresser-Trick. Zweitens: Auf Linux sind seccomp-Sandbox-Fehler jetzt fatal statt nur geloggt; Systeme ohne die nötigen Kernel-Features müssen Sandboxing explizit beim Build deaktivieren. Drittens, klein aber gemein für Automatisierung: sshd -G gibt Direktiven jetzt in Mixed-Case aus — Skripte, die auf Kleinschreibung matchen, laufen ins Leere.

ZUKUNFTS-SCHUTZ: Post-Quanten-Signaturen zum Ausprobieren

Das Highlight für Krypto-Fans: OpenSSH 10.4 bringt experimentelle Unterstützung für ein kombiniertes Post-Quanten-Signaturverfahren aus ML-DSA 44 und Ed25519, nach dem Draft „mldsa44-ed25519-composite-sigs“. Es ist bewusst NICHT standardmäßig aktiv: Du brauchst explizite Konfiguration und Schlüssel via ssh-keygen -t mldsa44-ed25519. Für Produktionsumgebungen zu früh, fürs Homelab-Testen genau richtig.

Nette Extras obendrauf: Ein neuer NFA-basierter Wildcard-Matcher beseitigt exponentielle Worst-Cases beim Pattern-Matching, und die Fixes rund um FIDO-Token-Schlüssel machen Hardware-Keys wieder zuverlässiger. Wenn du deinen SSH-Zugang ohnehin härten willst: Ein Hardware-Schlüssel wie der YubiKey 5 NFC* macht aus deinem Login eine Zwei-Faktor-Festung — OpenSSH unterstützt FIDO2-Keys nativ.

FAZIT: Update ja — aber mit Blick auf die Skripte

OpenSSH 10.4 ist ein solides Wartungs-Release mit echten Sicherheitsgewinnen. Spiel es zeitnah ein, prüfe danach aber Automatisierung und Monitoring auf die Mixed-Case-Ausgabe und teste Verbindungen von älteren Clients. Die Quellpakete openssh-10.4.tar.gz und openssh-10.4p1.tar.gz findest du auf den offiziellen Mirrors samt Checksummen.

Häufige Fragen

Was ist neu in OpenSSH 10.4?
Sicherheits-Fixes für sftp, scp und sshd, ein Pre-Auth-DoS-Fix bei GSSAPI, härteres Verhalten beim Key-Re-Exchange, fatale seccomp-Sandbox-Fehler auf Linux, ein neuer Wildcard-Matcher gegen Performance-Fallen sowie experimentelle Post-Quanten-Signaturen aus ML-DSA 44 plus Ed25519.
Lohnt sich das Update sofort oder kann ich warten?
Zeitnah einspielen lohnt sich: Mehrere Fixes betreffen Angriffe durch bösartige Server auf sftp- und scp-Clients sowie einen Pre-Auth-DoS. Kritische Notfall-Lücken sind es nicht, aber wer täglich SSH-Verbindungen zu fremden Systemen aufbaut, profitiert direkt.
Bricht das Update bestehende Konfigurationen?
Möglich: sshd -G gibt Direktiven jetzt in Mixed-Case aus, was Parsing-Skripte brechen kann. Auf Linux sind seccomp-Sandbox-Fehler jetzt fatal, ältere Systeme ohne passende Kernel-Features brauchen einen Build-Schalter. Teste Automatisierung nach dem Update.
Wie aktiviere ich die Post-Quanten-Signaturen?
Gar nicht automatisch — das Verfahren ist experimentell und standardmäßig aus. Du erzeugst Schlüssel mit ssh-keygen -t mldsa44-ed25519 und musst das Schema explizit in der Konfiguration erlauben. Für produktive Server ist es noch zu früh, fürs Testen im Homelab ideal.

Quellen: Cyber Security News · OpenSSH.org

Kommentar hinterlassen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert