更新后的 openssh 程序包修复了两个安全问题和各种缺陷，现在可用。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

OpenSSH 是 OpenBSD 的 SSH (Secure SHell) 协议实现。这些程序包包含 OpenSSH 客户端和服务器都必需具有的核心文件。

在 ssh 服务器将帐户名称写入审计子系统的方式中发现一个缺陷。攻击者可注入包含部分审计消息的字符串，从而可能误导或混淆审计日志解析工具。(CVE-2007-3102)

在 OpenSSH 服务器处理 GSSAPI 认证请求的方式中发现一个缺陷。在 OpenSSH 服务器中启用 GSSAPI 认证后，远程攻击者或能确定用户名是否有效。(CVE-2006-5052)

还修复了以下缺陷：

* 关闭 ssh 会话时 ssh 后台程序未生成审计消息。

* GSSAPI 认证有时在使用 DNS 或负载平衡的群集上失败。

* sftp 客户端和服务器在某些情况下泄漏少量内存。

* 目标磁盘驱动器已满时，sftp 在批处理模式下未正确退出并返回非零状态。

* 通过 initscript 重新启动 ssh 后台程序时，ssh 后台程序有时未能成功重新启动，原因是未正确终止之前运行的 ssh 后台程序。

* 启用了质询/响应认证时，如果用户认证超时，则不会终止 pam 子进程。

所有 openssh 用户应升级这些更新后的程序包，其中包含用于修正这些问题的修补程序。

检测

CentOS 4：openssh (CESA-2007:0703)

medium Nessus 插件 ID 67053

未找到变更日志