OpenSSH 10.6：コマンドラインのユーザー名制限、圧縮効果の低下、scp -Rの廃止予告

同じユーザー名でも指定方法で拒否の有無が変わる

自動化で接続先ユーザー名をコマンドラインに渡している場合、以前は許可された入力が拒否される可能性がある。sshは、バックスラッシュ（\）やドル記号（$）を含むコマンドラインのユーザー名を拒否するようになった。

一方、設定ファイルのUserディレクティブで指定した名前は、この制限の対象外だ。あらゆる設定方法でこれらの文字を禁止した変更と捉えると、適用範囲を誤る。

変更の理由は、信頼できないユーザー名がProxyCommandやMatch execなどを通じてシェルコマンドに渡る際のコマンドインジェクションの危険性だ。Userディレクティブの例外は、シェルでユーザー名を扱うあらゆる方法の安全性を保証するものではない。

scp -Rは警告の段階、LZ77圧縮は無効化

scp -Rは、リモートホストでscpを実行してリモートホスト間のコピーを行うオプションだ。10.6でも引き続き動作するが、標準エラーに廃止予告の警告を出力する。

将来のリリースではこのオプションを無視し、コピーを開始したクライアントホストを経由する既定の経路を使う予定だ。変更時期は決まっていない。

OpenSSHが挙げた理由は、リモートホスト側に認証手段が必要なことと、シェルの引用符処理が一貫していないことだ。今回の警告追加と、将来のデータ転送経路の変更は別の段階だ。

圧縮の変更は今回のバージョンから適用される。sshとsshdは、繰り返し現れるデータを見つけて圧縮するLZ77辞書コーダーを無効化する。

リリースノートは、1つのSSH接続内にある複数の論理的な通信経路「チャネル」が圧縮辞書を共有する問題を説明している。攻撃者があるチャネルに選んだ内容を送り込み、暗号化された通信の長さの変化を観察して、別のチャネルの秘密情報を推測できるという。OpenSSHは、この対策で圧縮効果が低下すると説明し、可能な場合はアプリケーション側での圧縮を推奨している。ただし、スループットやCPU使用率の変化を実測した結果は示していない。

アップグレード前の確認対象は自動化の入力と経路

確認範囲は、自動化が実際に使っている機能から絞り込める。接続先ユーザー名を生成する箇所で、$や\を含むか、コマンドラインで渡すかを併せて確認すると、今回の入力制限の影響を切り分けられる。

コピー処理では、scp -Rの使用有無と、標準エラーの警告をどう扱うかが確認対象になる。警告を失敗と扱う自動化では、コピー機能が維持されていても影響が生じる可能性がある。

SSH圧縮に依存する処理は、実際のデータと接続条件で影響を確認する対象だ。該当する旧式サーバーでは、ビルドがファイルディスクリプター渡しに対応するかと、PTY割り当てに必要な権限を併せて確認する必要がある。

これは変更の影響範囲を特定するための確認案であり、実施した実験や観測した出力ではない。