命令行注入

OpenSSH 10.6 为安全起见故意破坏两项功能

OpenSSH 10.6 在本周二发布，维护者明知会让一些用户出现问题，还是主动改掉了两个功能。第一，他们关闭了压缩中的 LZ77 字典编码，因为研究者发现，多条通道共用同一份压缩记录时，可能把另一条通道里的机密内容泄露出去；压缩默认本来就没开，只有手动开启的人会受影响。第二，命令行用户名里不再允许出现 $ 和 \ 两个符号，防止内部工具或 CI 拼接用户名时被 shell 当成命令执行；写在配置文件里的同类用户名不受限制。对普通用户来说，交互式登录基本无感；但大量传输可压缩数据的自动化任务可能变慢，需要把压缩挪到应用层完成。