OpenSSH 10.5/10.5p1 リリースノート

OpenSSH リリースノート OpenSSH 10.5/10.5p1 (2026-08-11) OpenSSH 10.5 は 2026-08-11 にリリースされました。https://www.openssh.com/ でリストされているミラーから入手可能です。OpenSSH は 100% 完全な SSH プロトコル 2.0 実装であり、sftp クライアントとサーバーのサポートを含みます。 最近、OpenSSH チームは多数のセキュリティバグレポートを受け取りました。その多くは AI モデルによる発見、または AI の支援を受けて発見されたものです。多くの AI レポートは、現実的な脅威モデルの文脈で考慮するとセキュリティへの影響がないと判断されますが、これらのレポートは、特に人間のトリアージ、分析、テストケース、そして修正案の提案と組み合わされる場合に、非常に歓迎されます。AI ツールによって特定されたセキュリティバグが、その後別の研究者によって独立して発見されるケースがいくつか見られました。これは、バグを OSS プロジェクトに報告しない敵対者がこれらのバグを発見する可能性があることを示唆しています。このため、OpenSSH チームは、当面の間、バグ修正を次の計画リリースまでまとめて待つのではなく、より頻繁なリリースを行ってユーザーに迅速に届けます。 改めて、プロジェクトへの継続的な支援、特にコードやパッチの提供、バグの報告、スナップショットのテスト、プロジェクトへの寄付をしてくださった OpenSSH コミュニティの皆様に感謝いたします。寄付に関する詳細は https://www.openssh.com/donations.html で確認できます。 互換性に影響を与える可能性のある変更 -------------------------------- * ポータブル OpenSSH は、libcrypto の ECC (Elliptic Curve Cryptography) サポート、特に NISTP521 カーブのサポートが必須となりました。ECC は、LibreSSL、OpenSSL、BoringSSL、AWS LC を含む、OpenSSH が現在サポートしているすべての libcrypto 実装のデフォルトビルド構成に含まれています。--without-openssl ビルド構成は影響を受けません。 OpenSSH 10.4 以降の変更点 ========================= このリリースには、多数のセキュリティ修正と小規模なバグ修正が含まれています。 セキュリティ ======== * ssh-agent(1): エージェントのロックと、転送されたエージェントを識別するために使用される session-bind@openssh.com 拡張機能との間の相互作用を修正しました。これらのバインド要求はエージェントがロックされている場合に拒否され、ローカル使用のみを意図した操作（PKCS#11 トークンの追加や宛先制限が適用されたキーの使用など）がリモートで実行される可能性がありました。sn0x-sharma より報告 * ssh(1): クライアントで、リモート転送がローカルセッション多重化ソケット経由で追加される際に、サーバーとの間でリモート転送オープン要求が保留中の場合に、use-after-free の可能性を回避します。Cognatory の Brian Mingus より報告および修正 * sshd(8): authorized_keys の "restrict" キーワードが、トンネル転送（管理上デフォルトで無効）にも正しく適用されるようにしました。Institute of Computing Technology, Chinese Academy of Sciences の Erichen より報告 新機能 ------------ * ssh-keygen(1): FIDO 秘密鍵のパスフレーズをリセットする際に、touch-required および verify-required フラグを設定またはクリアする機能を追加しました。 * ssh(1): pubkey 認証中に試行される証明書の順序を調整し、ユーザープレゼンス（タッチ）を必要としない FIDO キーを優先し、PIN または生体認証によるユーザー検証を必要とする FIDO キーを最後に試行するようにしました。これにより、摩擦の少ない認証方式が先に試行されます。 * ssh(1): "ssh -Z user@host" モードを追加しました。これにより、公開鍵認証に使用される鍵が、使用される順序で表示されます。 * sshd(8): post-authentication モニターとして機能する際に、setproctitle(3) を使用して sshd-session を識別するようにしました。 バグ修正 -------- * ssh-keyscan(1): サーバーバナーの読み取りをノンブロッキング操作にし、停止したサーバーが多数のホストのキーをスキャンするのをブロックしないようにしました。 * sshd(8): パケットコードでのエラーに、単なる fatal() の代わりに sshpkt_fatal() を使用するようにしました。これにより、失敗したピア（アドレス、ポート、ユーザーなど）のコンテキストが提供されます。 * sshd(8): クライアントへの UpdateHostKeys 要求のホスト鍵証明書に署名する際、各ホスト鍵が最大 1 回の署名操作を実行できるようにしました。 * sshd(8): openssh-10.4 の servconf.c リファクタリング中に壊れていた GSSAPI オプション名を修正しました。bz3974。 * ssh-keygen(1): ed25519 キー生成からのエラーを返すようにしました。理論的には失敗する可能性があります。GHPR702。 * sshd(8): 公開鍵のタイプと許可されたアルゴリズムのチェックを、ピアから送信された鍵の解析前に行うように移動しました。これにより、認証前の攻撃対象領域から少なくとも一部の鍵解析および検証パスが削除されます。Anthropic の Christopher Paul Rohlf より提案。 * ssh-keygen(1): 二重解放（テストハーネス外では到達不可能）を修正し、可能な場合は freezero を使用するようにしました。Anthropic の Christopher Paul Rohlf より。 * sshd(8): sshd_config の Match ブロックで ChannelTimeout および RekeyLimit が適用されない問題を修正しました。 * sshd(8): sshd 設定ダンプモードで、一貫性のためにすべてのディレクティブを混合ケースで書き込むようにしました。 ポータビリティ ----------- * sshd(8): openssh-10.4 のリファクタリング中に誤って無効化されていた PAMServiceName を Match ブロック内で再度許可しました。bz3987。 チェックサム: =========== - SHA1 (openssh-10.5.tar.gz) = 273163972f623bb9bffef9fd75a85c74d3b22633 - SHA256 (openssh-10.5.tar.gz) = 9Zhp0C/mDWNLmnatq68mtbqOUhvbyYcffH04dsHUwZQ= - SHA1 (openssh-10.5p1.tar.gz) = 3067e2af7c526b31c7e94bc3ed38904ef791eb2c - SHA256 (openssh-10.5p1.tar.gz) = 1E0oqDnqna+WnMaRUP3lmRCys5Nh2tgaO9bL0ZIY2xE= SHA256 シグネチャは base64 エンコードされており、ほとんどのチェックサムツールでデフォルトの 16 進数ではありません。 リリースに署名するために使用された PGP キーは、ミラーサイトから入手できます: https://cdn.openbsd.org/pub/OpenBSD/OpenSSH/RELEASE_KEY.asc バグ報告: =========== - https://www.openssh.com/report.html をお読みください。 セキュリティバグは openssh@openssh.com に直接報告してください。 OpenSSH 10.4/10.4p1 (2026-07-06) OpenSSH 10.4 は 2026-07-06 にリリースされました。https://www.openssh.com/ でリストされているミラーから入手可能です。OpenSSH は 100% 完全な SSH プロトコル 2.0 実装であり、sftp クライアントとサーバーのサポートを含みます。 改めて、プロジェクトへの継続的な支援、特にコードやパッチの提供、バグの報告、スナップショットのテスト、プロジェクトへの寄付をしてくださった OpenSSH コミュニティの皆様に感謝いたします。寄付に関する詳細は https://www.openssh.com/donations.html で確認できます。 互換性に影響を与える可能性のある変更 -------------------------------- * sshd(8): 設定ダンプモード ("sshd -G") は、以前は小文字の名前のみを出力していましたが、現在はディレクティブを混合ケース（例: "PubkeyAuthentication"）で出力します。 * sshd(8): Linux システムで seccomp サンドボックスが有効な場合、SECCOMP または NO_NEW_PRIVS の有効化に失敗すると致命的になります。以前は sshd(8) はエラーをログに記録していましたが、これらの機能を持たないシステムをサポートするために動作を継続していました。これらの機能を持たないシステムは、代わりに設定時にサンドボックスを無効にする必要があります。 * ssh(1), sshd(8): 認証後の鍵再交換中にピアが非 KEX メッセージを送信した場合に切断するように、トランスポートプロトコルをより厳格にしました。以前は、悪意のあるピアはペナルティなしで鍵交換メッセージを送信し続けることができました。これらはバッファリングされ、接続が終了するかサーバー/クライアントがメモリ制限に達するまでメモリが無駄に消費されていました。RFC4253 セクション 7.1 に従って鍵交換中に送信されるメッセージを制限しない実装は切断される可能性があります。Marko Jevtic より報告。 OpenSSH 10.3 以降の変更点 ========================= このリリースには、多数のセキュリティ修正、一般的なバグ修正、およびいくつかの新機能が含まれています。 セキュリティ ======== * sftp(1): コマンドラインで "sftp host:/path ." を使用してファイルをダウンロードする際に、悪意のあるサーバーがファイルを予期しない場所にダウンロードさせる可能性がありました。この問題は Swival Security Scanner によって特定されました。 * scp(1): 2つのリモート宛先間でファイルをコピーする際に、悪意のあるサーバーが親ディレクトリにファイルを書き込むことを許可しないようにしました。