A OpenSSH lançou a versão 10.3 e 10.3p1 em 2 de abril de 2026, abordando uma vulnerabilidade de injeção de shell e introduzindo várias alterações de segurança-hardening que os administradores devem revisar antes de atualizar. A vulnerabilidade mais notável alvo uma injeção de shell na opção de linha de comando -J (ProxyJump). Anteriormente a essa versão, nomes de usuário e host passados via -J […] foram executados sem serem validados corretamente.
Detalhes Técnicos
Vulnerabilidade de Injeção de Shell: A opção de linha de comando -J (ProxyJump) não validava corretamente nomes de usuário e host, permitindo a injeção de comandos arbitrários.
Alterações de Segurança-Hardening: A versão 10.3 inclui várias alterações de segurança-hardening, incluindo a validação de nomes de usuário e host, para prevenir futuras vulnerabilidades.
CVE: Não mencionado no artigo, mas é recomendável verificar a lista de CVEs relacionados à OpenSSH 10.3.
Impacto: A vulnerabilidade de injeção de shell pode permitir a execução de comandos arbitrários, o que pode levar a uma perda de controle do sistema.
Recomendação: Os administradores devem revisar as alterações de segurança-hardening e atualizar para a versão 10.3 o mais rápido possível.
