Выпуск Dropbear SSH 2026.90 с устранением уязвимостей

04.05.2026 12:32 (MSK)

Опубликован выпуск проекта Dropbear 2026.90, развивающего сервер и клиент SSH, получивший распространение в беспроводных маршрутизаторах и компактных дистрибутивах, подобных OpenWrt. Dropbear отличается низким потреблением памяти, возможностью отключения лишней функциональности на этапе сборки и поддержкой сборки клиента и сервера в одном исполняемом файле по аналогии с busybox. При статическом связывании с uClibc исполняемый файл Dropbear занимает всего 110kB. Dropbear поддерживает перенаправление X11, совместим с файлом ключей OpenSSH (~/.ssh/authorized_keys) и может создавать мультисоединения с пробросом через транзитный хост. Код проекта написан на языке Си и распространяется под лицензией, близкой к MIT.

В новой версии исправлено несколько проблем с безопасностью:

Неполное устранение в scp уязвимости (CVE-2019-6111), позволяющей перезаписать другие файлы при подключении к вредоносному серверу. При применении scp сервер принимает решение о том, какие файлы и каталоги отправить клиенту, а клиент лишь проверяет корректность возвращённых имён объектов. Проверка на стороне клиента блокирует выход за границы текущего каталога ("../"), но в случае рекурсивного копирования (-r) не учитывает случаи передачи каталогов с именами, отличающимися от изначально запрошенных. Проблема решена через запрет использовании опции "-r" с уже существующим целевым каталогом.
Уязвимость (CVE-2026-35385) в утилите scp, из-за которой после загрузки файла с правами root с указанием опции "-O" и без опции "-p" не очищались флаги setuid/setgid.
Возможность обхода выполнения команды "forced_command" в настройках authorized_keys при подключении аутентифицированного пользователя с использованием опции "-t" (вход с проверкой пароля и открытого ключа).
Отказ в обслуживании через создание локальным пользователем спецфайла с именем authorized_keys, блокирующим операции чтения.
Чтение данных из области вне буфера при создании обработчиков перенаправления клиентских и серверных запросов, что может привести к закрытию произвольных файловых дескрипторов.

Не связанные с безопасностью изменения:

В ssh добавлена опция "-R" для пробрасывания unix-сокетов через SSH-туннель.
В ssd добавлена опция "-M" для ограничения максимальной продолжительности сеанса.
В "authorized_keys" добавлен опция "permitlisten" для ограничения допустимых портов.
Прекращена поддержка RSA-ключей, созданных в dropbearkey 0.32 или более ранних версиях данной утилиты, подверженных атаке по сторонним каналам, оценивающей разницу во времени обработки данных, попавших и не попавших в кэш.
Для блокирования перебора открытых ключей на хостах число запросов открытых ключей ограничено 15 попытками для каждого сеанса.

исправить +15 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/65356-dropbear

Ключевые слова: dropbear, ssh

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (51)

1.1, Аноним (1), 12:56, 04/05/2026 [ответить] [﹢﹢﹢] [ · · · ]	–4 +/–
Когда уже rust-ssh?

2.2, Аноним (2), 12:59, 04/05/2026 [^] [^^] [^^^] [ответить]	–1 +/–
> не очищались флаги setuid/setgid Думаешь, осилят такое?

3.5, Аноним (5), 13:05, 04/05/2026 [^] [^^] [^^^] [ответить]	–1 +/–
Так источников для переписывания достаточно.

4.44, aname (ok), 21:53, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Это не значит, что осилят. Источников переписать coreutils тоже хватает, но…

2.3, Аноним (3), 13:03, 04/05/2026 [^] [^^] [^^^] [ответить]	–1 +/–
да уже https://github.com/Eugeny/russh

3.4, Аноним (1), 13:05, 04/05/2026 [^] [^^] [^^^] [ответить]	+4 +/–
https://github.com/Eugeny/russh#unsafe-code хотелось бы без unsafe)

4.6, Аноним (1), 13:06, 04/05/2026 [^] [^^] [^^^] [ответить]	+1 +/–
И без ДРАМЫ https://github.com/Eugeny/russh/issues/151

4.12, Аноним (12), 13:47, 04/05/2026 [^] [^^] [^^^] [ответить]	+1 +/–
без unsafe горазды только тролить сишных дидoв

4.45, aname (ok), 21:54, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Не для того unsafe завозили

3.16, Аноним (2), 14:16, 04/05/2026 [^] [^^] [^^^] [ответить]	+1 +/–
> russh И содрогнутся все от Zerg rush!

2.29, Аноним (-), 05:49, 05/05/2026 [^] [^^] [^^^] [ответить]	–1 +/–
> Когда уже rust-ssh? И 123 CVE в нем - как в rust-coreutils? :D

3.46, aname (ok), 21:56, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Это в uutils- 123+ А тут же надо будет ещё и мозгами думать…

1.7, Аноним (7), 13:17, 04/05/2026 [ответить] [﹢﹢﹢] [ · · · ]	–7 +/–
>Dropbear поддерживает перенаправление X11 Зачем это нужно в 2026 году, с учётом того, что во-первых любое приложение с графикой сложнее xterm, даже qterminal с векторными шрифтами и сглаживанием через него тормозит, во-вторых приличное количество приложений не запускаются вообще, в-третьих, при разрыве связи, приложение просто падает?

2.8, Аноним (1), 13:21, 04/05/2026 [^] [^^] [^^^] [ответить]	+/–
Легаси.

2.9, Alladin (?), 13:33, 04/05/2026 [^] [^^] [^^^] [ответить]	+1 +/–
если у тебя сеть не меньше 10 мбит то ничего не тормозит, и да активно используем

3.10, жЫр с монитора (?), 13:43, 04/05/2026 [^] [^^] [^^^] [ответить]	–3 +/–
Да ладно? Оно и на гигабите тормозит, если не в локальной сети.

4.30, timur.davletshin (ok), 07:40, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Дело вовсе не в скорости, а в задержке, т.к. синхронный протокол. Если битмапов больших не было, то он и на коаксиале совершенно сносно работал. Понятно, что обывателю на всё это наплевать, но лично я иногда использую.

3.11, Аноним (1), 13:44, 04/05/2026 [^] [^^] [^^^] [ответить]	–1 +/–
Локалка или через интернет? Кстати, для Wayland есть waypipe.

4.13, Аноним (7), 13:49, 04/05/2026 [^] [^^] [^^^] [ответить]	+/–
>Локалка или через интернет? Тормозит даже в локальной сети. Откройте krita и попробуйте порисовать.

5.21, Аноним (5), 14:43, 04/05/2026 [^] [^^] [^^^] [ответить]	+2 +/–
Попробуй на хосте, на котором Krita исполняешь, установить видеоакселератор.

6.22, Аноним (7), 15:22, 04/05/2026 [^] [^^] [^^^] [ответить]	+/–
Почему-то при запуске напрямую или через waypipe, krita не тормозит.

7.26, Аноним (26), 23:45, 04/05/2026 [^] [^^] [^^^] [ответить]	–1 +/–
Потому что, напрямую ты его запускаешь при наличии видеокарты.

8.27, Аноним (7), 02:00, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Это не ответ Видеокарта есть на двух хостах На удалённом тормозит только при п... текст свёрнут, показать

9.32, timur.davletshin (ok), 07:49, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Да госпаде Протокол, который требует синхронизации состояния, зато мало жрёт ... текст свёрнут, показать

10.35, Аноним (7), 11:03, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Очень актуально, в 2026 году рекламировать протокол, который может быть в 1990-ы... текст свёрнут, показать

11.41, timur.davletshin (ok), 21:40, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Учителя учат, а не рекламируют Да я и не учитель Мне фиолетово до того, что ... текст свёрнут, показать

12.47, aname (ok), 21:58, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Это ж насколько ж проще- то Который и сегодня не то, чтоб хороший выбор Что пр... текст свёрнут, показать

13.49, timur.davletshin (ok), 23:46, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Ну цепанись через SSH На Pentium I без MMX особенно хорошо гонялся в JPEG ... текст свёрнут, показать

14.50, aname (ok), 00:41, 06/05/2026 [^] [^^] [^^^] [ответить]	+/–
RDP проще Ну хоть не 386... текст свёрнут, показать

15.51, timur.davletshin (ok), 10:01, 06/05/2026 [^] [^^] [^^^] [ответить]	+/–
Проще тем, что он отсутствует там, где есть ssh и X Эх, молодёжь Pentium I впо... текст свёрнут, показать

16.52, aname (ok), 14:42, 06/05/2026 [^] [^^] [^^^] [ответить]	+/–
Если там это есть, то и это может появиться Главное, что сейчас это уже не мейнс... текст свёрнут, показать

17.53, timur.davletshin (ok), 20:10, 06/05/2026 [^] [^^] [^^^] [ответить]	+/–
Главное в том, что в тот момент ничего другого не было ... текст свёрнут, показать

10.40, Аноним (40), 19:07, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Ширина канала уже давно достаточная для гоняния конечных картинок Даже по радио... текст свёрнут, показать

11.42, timur.davletshin (ok), 21:45, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
А как сделали Расскажи Как мне запустить из сессии SSH графическое приложение ... текст свёрнут, показать

4.17, Аноним (2), 14:17, 04/05/2026 [^] [^^] [^^^] [ответить]	+3 +/–
> для Wayland есть waypipe. Есть-то есть, ещё бы работал.

5.23, Аноним (7), 16:21, 04/05/2026 [^] [^^] [^^^] [ответить]	–1 +/–
У меня работает без проблем.

6.31, timur.davletshin (ok), 07:41, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Он уже хотя бы позиции окон научился восстанавливать?

7.37, Аноним (7), 11:05, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Не проверял, у меня окнами мозаичный оконный менеджер занимается.

4.20, Аноним (5), 14:40, 04/05/2026 [^] [^^] [^^^] [ответить]	+2 +/–
Этот waypipe ржавый. Но несмотря на это, обильно приправлен @unsafe.

5.48, aname (ok), 22:00, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Это безопасные unsafe. А кому не нравится- подвергнуть остракизму!

2.14, Аноним (-), 13:53, 04/05/2026 [^] [^^] [^^^] [ответить]	+2 +/–
Начнём с того, что нужно использовать примитивы предоставляемые окружением, а не в битмапы рендерить. Закончим тем, что пробрасывать х11 предполагалось в сети предприятия, а не через интернет, и, если и здесь у вас разрывы, то может стоит порядок навести для начала?

3.15, Аноним (7), 14:08, 04/05/2026 [^] [^^] [^^^] [ответить]

–1 +/–

>Начнём с того, что нужно использовать примитивы предоставляемые окружением, а не в битмапы рендерить.

Какие примитивы, html? Свой велосипед делать? Или вы предлагаете довольствоваться уровнем графики xterm, xclock и подобного?
>Закончим тем, что пробрасывать х11 предполагалось в сети предприятия

Я тестировал проброс в пределах одной квартиры, всё равно тормозит.
>и, если и здесь у вас разрывы

И отказаться, например, от ноутбуков.

4.18, Аноним (18), 14:30, 04/05/2026 [^] [^^] [^^^] [ответить]

+/–

> Я тестировал проброс в пределах одной квартиры, всё равно тормозит.

Разумеется проброс через сеть добавляет расходы, но не настолько критичные, чтобы например лично мне идти в комнату с кухни чтобы нажать какуюто кнопку, вполне могу подключиться с телефона и тыкнуть

И вообще это фишка которую надо специально включать, почему бы ей не пользоваться если есть, не всегда и не на 100% можно угадать будущее, вполне может случиться так что операция которая планировалась как быстрая может занять больше времени, а его здесь и сейчас может не быть, и что страшного в том, чтобы нажать нужную кнопку находясь уже в в дороге, подключившись к дому через впн.

5.19, Аноним (7), 14:36, 04/05/2026 [^] [^^] [^^^] [ответить]	–1 +/–
>Разумеется проброс через сеть добавляет расходы Через waypipe работало хорошо, всё в тех же условиях.

2.25, Аноним83 (?), 22:07, 04/05/2026 [^] [^^] [^^^] [ответить]	+/–
CodeLite так гонял из виртуалки на хост, никаких тормозов не было. Если у вас разрывы в локалке - это повод пригласить специалистов.

3.28, Аноним (7), 02:03, 05/05/2026 [^] [^^] [^^^] [ответить]

+/–

>это повод пригласить специалистов.

У вас есть хороший повод высказать своё мнение.
>CodeLite так гонял из виртуалки на хост, никаких тормозов не было.

Я скорее поверю в то, что вы просто не замечаете тормоза.

3.33, Аноним (33), 09:18, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Да блин, то что х11 forwarding тормозилово было ясно лет 20 назад. Это порванный баян. Зачем врать то?

4.34, timur.davletshin (ok), 10:01, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Будешь ржать, но демка glxgears гонялась по 10-мегабитной локалке без проблем. А вот демки VRML (шта эта?) уже тормозили. Но на практике всё сильно зависело от тулкита.

5.36, Аноним (7), 11:04, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
>но демка glxgears гонялась по 10-мегабитной локалке без проблем Чем меньше размер растового изображения, тем меньше у него вес.

6.43, timur.davletshin (ok), 21:46, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Т.е. демка "чайник" 320х240 принципиально отличается от демки "три шестерёнки" 320х240?

2.39, Palantir Technologies (-), 15:27, 05/05/2026 [^] [^^] [^^^] [ответить]	+/–
Всё это активно используется. Да, не надёжно, хрупко и геморно, но слишком много legacy, от которого нельзя отказаться по щелчку пальца и перейти на современные протоколы.

1.24, Аноним83 (?), 22:04, 04/05/2026 [ответить] [﹢﹢﹢] [ · · · ]

+/–

> Проверка на стороне клиента блокирует выход за границы текущего каталога ("../")

openat() уже давно придумали для решения проблемы выхода из нужной диры.

1.38, Palantir Technologies (-), 15:16, 05/05/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Лучший ssh сервер. У меня он даже на телефоне с мусорки (в прямом смысле) запускается и выполняет некую полезную работу, а не просто just for fun.

Добавить комментарий

Текст: