Das OpenSSH-Team hat gestern Version 10.5 veröffentlicht — nur fünf Wochen nach dem 10.4-Release von Anfang Juli und damit deutlich vor dem gewohnten Rhythmus. Der Grund ist bemerkenswert: Die Entwickler berichten von einer Flut an Sicherheitsmeldungen, die von KI-Modellen gefunden oder mit KI-Unterstützung erstellt wurden — und stellen ihren Release-Zyklus deshalb auf schnellere Bedarfs-Releases um. Das wichtigste Werkzeug der Server-Welt wird jetzt also im KI-Tempo gepatcht.
Lücke 1: Der gesperrte Agent, der nicht ganz dicht war
Der spannendste Fix betrifft ssh-agent. Wer seinen Schlüsselspeicher mit ssh-add -x sperrt, erwartet, dass danach nichts mehr geht. Genau hier klaffte aber eine Lücke im Zusammenspiel mit der Erweiterung session-bind@openssh.com, die weitergereichte Agenten (Agent-Forwarding) kennzeichnet: Durch das fehlerhafte Verhalten konnten Schlüssel, die eigentlich nur lokal nutzbar sein sollten, über einen weitergereichten Agenten remote verwendet werden. Wer also auf einem kompromittierten Server mit Agent-Forwarding unterwegs war, hatte weniger Schutz als gedacht — selbst bei gesperrtem Agenten.
Lücke 2 und 3: Use-after-Free und ein löchriges restrict
Im SSH-Client steckte außerdem eine potenzielle Use-after-Free-Schwachstelle rund um realloc beim Remote-Forwarding — die Sorte Speicherfehler, die sich im schlimmsten Fall zu Codeausführung ausbauen lässt. Und auf der Server-Seite griff das restrict-Schlüsselwort in authorized_keys nicht vollständig: Tunnel-Forwarding wurde von der Einschränkung bislang nicht erfasst. Ein Key, der eigentlich „nur dieses eine Kommando“ durfte, konnte also trotzdem Netzwerk-Tunnel aufbauen. Beides ist in 10.5 behoben.
KI findet Bugs schneller, als Menschen releasen können
Dass ausgerechnet das konservative OpenSSH-Projekt seinen Release-Takt beschleunigt, ist ein Zeichen der Zeit. Schon OpenSSH 10.4 hatte im Juli acht Sicherheitsfixes an Bord — auch damals spielten KI-gestützte Funde eine Rolle. Die Entwickler ziehen jetzt die Konsequenz: Statt Fixes monatelang zu sammeln, kommen Releases, sobald sich genug angesammelt hat. Für dich als Admin heißt das: OpenSSH-Updates werden häufiger — und wichtiger.
SO updatest du in 2 Minuten
Auf den meisten Systemen reicht die Paketverwaltung, sobald deine Distribution die neue Version paketiert hat: apt update && apt upgrade bei Debian/Ubuntu, dnf upgrade bei Fedora/RHEL-Klonen. Prüfen kannst du den Stand mit ssh -V. Keine Panik, falls deine Distribution noch auf einer älteren Basisversion sitzt: Debian und Co. portieren Sicherheitsfixes als Backports zurück — entscheidend ist, dass du die Security-Updates deiner Distribution zeitnah einspielst.
Unabhängig von der Version gilt: Agent-Forwarding nur zu Hosts, denen du wirklich vertraust — oder gleich ProxyJump nutzen, das ganz ohne weitergereichten Agenten auskommt. Wie du deinen SSH-Zugang grundsätzlich absicherst, zeigt dir unser 15-Minuten-Guide zum SSH-Härten.
FAZIT: Kleines Release, großes Signal
Drei solide Fixes, keine Katastrophe — aber die eigentliche Nachricht ist der neue Takt: KI-gestützte Bug-Suche verändert gerade, wie schnell kritische Infrastruktur gepatcht werden muss. Halte deine Server-Update-Routine entsprechend frisch.