OpenSSH 10.6p2 发布，为无 PAM 的 Alpine 提供关键兼容修复

当 ChrootDirectory 启用时会出现此消息。bz#2485

• ssh(1)：在 ssh -G 配置转储中包含 PubkeyAcceptedKeyTypes。
• sshd(8)：如果 TunnelForwarding 设备标志已经是所需的值，则避免更改它们；如果设备权限和接口标志已预先设置，则使非 root 用户可以使用 tun/tap 网络。
• ssh(1)、sshd(8)：RekeyLimits 可能被一个数据包超出。bz#2521
• ssh(1)：修复多路复用主进程未能注意到客户端退出的问题。
• ssh(1)、ssh-agent(1)：避免对呈现空密钥 ID 的 PKCS11 令牌调用 fatal()。bz#1773
• sshd(8)：避免 printf 空参数。bz#2535
• ssh(1)、sshd(8)：允许 RekeyLimits 大于 4GB。bz#2521
• ssh-keygen(1)：sshd(8)：修复（未使用的）KRL 签名支持中的几个错误。
• ssh(1)、sshd(8)：修复与使用协议密钥交换猜测特性的对等端的连接。bz#2515
• sshd(8)：在日志消息中包含远程端口号。bz#2503
• ssh(1)：在未编译 SSHv1 支持时不要尝试加载 SSHv1 私钥。bz#2505
• ssh-agent(1)、ssh(1)：修复密钥加载和签名错误期间不正确的错误消息。bz#2507
• ssh-keygen(1)：当 known_hosts 不存在时，执行 known_hosts 文件编辑时不要留下空的临时文件。
• sshd(8)：修正不分配端口的请求的 tcpip-forward 回复的数据包格式 bz#2509
• ssh(1)、sshd(8)：修复关闭输出时可能出现的挂起。bz#2469
• ssh(1)：将 ControlPath 中的 %i 扩展为 UID。bz#2449
• ssh(1)、sshd(8)：修复 openssh_RSA_verify 的返回类型。bz#2460
• ssh(1)、sshd(8)：修复一些选项解析内存泄漏。bz#2182
• ssh(1)：在 DNS 解析之前添加一些调试输出；这是 ssh 之前在 DNS 服务器无响应时可能静默停滞的地方。bz#2433
• ssh(1)：移除视觉主机密钥中多余的新行。bz#2686
• ssh(1)：修复 HostKeyAlgorithms=+... 的打印（ssh -G ...）
• ssh(1)：修复 HostkeyAlgorithms=+... 的扩展 文档

---

• ssh_config(5)、sshd_config(5)：更新默认算法列表以匹配当前现实。bz#2527
• ssh(1)：提及 -Q key-plain 和 -Q key-cert 查询选项。bz#2455
• sshd_config(8)：更清晰地描述 AuthorizedKeysFile=none 的作用。
• ssh_config(5)：更好地记录 ExitOnForwardFailure。bz#2444
• sshd(5)：在手册中提及内部 DH-GEX 回退组。bz#2302
• sshd_config(5)：更好地描述 MaxSessions 选项。bz#2531 可移植性

---

• ssh(1)、sftp-server(8)、ssh-agent(1)、sshd(8)：支持 Illumos/Solaris 细粒度权限。包括预认证 privsep 沙箱和几个 pledge() 模拟。bz#2511
• 更新 redhat/openssh.spec，移除已弃用的选项和语法。
• configure：允许 --without-ssl-engine 与 --without-openssl 一起使用
• sshd(8)：修复使用 S/Key 的多重认证。bz#2502
• sshd(8)：在放弃权限之前从 libcrypto RAND_* 读回。避免 BoringSSL 的沙箱违规。
• 修复与系统提供的 glob(3) 函数的名称冲突。bz#2463
• 调整 Makefile 以在生成主机密钥时使用 ssh-keygen -A。bz#2459
• configure：修正 --with-ssh1 的默认值 bz#2457
• configure：更好地检测 _res 符号 bz#2259
• 在 Linux 上支持 getrandom() 系统调用 校验和： ==========

• SHA1 (openssh-7.2.tar.gz) = 9567d00fffe655010c087aeb80c830cecbbecca6
• SHA256 (openssh-7.2.tar.gz) = 99GsHA8NwSGuEJhMc7hAOQ510y1xfGx27uJqyw73sCI=
• SHA1 (openssh-7.2p1.tar.gz) = d30a6fd472199ab5838a7668c0c5fd885fb8d371
• SHA256 (openssh-7.2p1.tar.gz) = lzzDey81l+TPWZsJ5gTnnA/l2bb1laJOke0GYoYLSsM= 请注意，SHA256 签名是 base64 编码的，而不是十六进制（大多数校验和工具的默认值）。用于签署发布的 PGP 密钥可从镜像站点以 RELEASE_KEY.asc 获取。 报告错误： ===============
• 请阅读 http://www.openssh.com/report.html 安全错误应直接报告至 openssh@openssh.org OpenSSH 由 Markus Friedl、Niels Provos、Theo de Raadt、Kevin Steves、Damien Miller、Darren Tucker、Jason McIntyre、Tim Rice 和 Ben Lindstrom 为您呈现。 OpenSSH 7.1p2 (2016-01-14) OpenSSH 7.1p2 于 2016-01-14 发布。可从 https://www.openssh.com/ 列出的镜像获取。 OpenSSH 是 100% 完整的 SSH 协议 2.0 实现，包括 sftp 客户端和服务器支持。OpenSSH 还包括对旧版 SSH 1.3 和 1.5 协议的过渡支持，可在编译时启用。 我们再次感谢 OpenSSH 社区对该项目的持续支持，特别是那些贡献代码或补丁、报告错误、测试快照或向项目捐款的人。有关捐款的更多信息，请访问： http://www.openssh.com/donations.html 自 OpenSSH 7.1p1 以来的更改 ===========================

• 安全：ssh(1)：5.4 到 7.1 之间的 OpenSSH 客户端代码包含对恢复 SSH 连接（漫游）的实验性支持。匹配的服务器代码从未发布，但客户端代码默认启用，可能被恶意服务器诱骗将客户端内存（包括客户端私钥）泄漏给服务器。 服务器主机密钥的认证可防止中间人利用，因此此信息泄漏仅限于与恶意或受损服务器的连接。 缓解措施：对于 OpenSSH >= 5.4，可以通过在全局 ssh_config(5) 文件或 ~/.ssh/config 中的用户配置中添加 'UseRoaming no'，或在命令行传递 -oUseRoaming=no 来完全禁用客户端中的易受攻击代码。 补丁：请参阅下文以获取禁用此功能的补丁（在源代码中禁用漫游）。 此问题由 Qualys 安全咨询团队报告。
• 安全：修复数据包处理代码中的越界读取访问。由 Ben Hawkes 报告。
• 协议：在初始密钥交换期间正确解释 'first_kex_follows' 选项。由 Matt Johnston 报告。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）