OpenSSH 10.4 发布：修复多项安全问题并新增多项功能

sec随谈
sec随谈

sec随谈

2026年7月7日 10:10
北京

在小说阅读器读本章

去阅读

OpenSSH 10.4 发布：修复多项安全问题并新增多项功能

OpenSSH 10.4 于 2026 年 7 月 6 日发布，带来了一批安全补丁、协议加固措施以及早期的后量子密码学（post-quantum cryptography）支持，用户可通过 OpenSSH 官网列出的镜像站点获取该版本。

OpenSSH 10.4 安全修复

此次发布修复了多个核心工具中存在的漏洞。在 sftp(1) 中，此前存在一个缺陷：在执行诸如 \"sftp host:/path .\" 之类的命令行操作时，恶意服务器可以将下载的文件重定向到非预期的位置。scp(1) 也得到了修复，防止恶意服务器在进行远程到远程复制（remote-to-remote copy）时，将文件写入到目标目录之外的位置。

此外，sshd(8) 的修复涵盖了 \"internal-sftp\" 中存在的一个静默截断（silent truncation）缺陷——该缺陷可能导致第九个命令行参数之后的安全相关选项被悄然丢弃；同时还修正了此前可被绕过的最小身份验证延迟（minimum authentication delay）强制机制，该问题由 Orange Cyberdefense 漏洞团队报告。

其他值得关注的修复还包括：解决了一个与 GSSAPIAuthentication 相关的预授权拒绝服务（denial-of-service）攻击问题，并修复了 ssh(1) 客户端中的一个释放后重用（use-after-free）漏洞——该漏洞会在服务器于会话中途更换主机密钥（host key）时被触发，由研究员 Zhenpeng（Leo）Lin 报告。

OpenSSH 10.4 还引入了一些可能带来兼容性影响的变更，以进一步收紧安全策略。传输协议现在会在身份验证后的密钥重新交换（key re-exchange）阶段，主动断开发送非 KEX 消息的对端连接，从而堵住了此前恶意对端可利用缓冲消息耗尽内存的漏洞。

在 Linux 平台上，seccomp 沙箱失败现在将被视为致命错误，而不再仅仅是记录日志，这就要求缺乏相应内核特性支持的系统必须在构建阶段显式禁用沙箱功能。此外，sshd -G 的配置转储（configuration dump）模式也改为输出大小写混合（mixed-case）的指令格式，这是一项外观上的改动，但会对自动化脚本造成兼容性影响。

本次更新的重头功能是：新增了对一种复合式后量子签名方案的实验性支持，该方案结合了 ML-DSA 44 与 Ed25519 算法，遵循 draft-miller-sshm-mldsa44-ed25519-composite-sigs 规范草案。该功能默认并未启用，需要显式配置，并使用通过 \"ssh-keygen -t mldsa44-ed25519\" 命令生成的密钥。

另外，ssh(1) 和 sshd(8) 现在采用了基于 NFA（非确定性有限自动机）的通配符模式匹配器，从而消除了此前实现中存在的指数级最坏情况性能问题。

本次发布还包含大量其他缺陷修复，包括：修正了 FIDO 安全令牌密钥下载相关的问题，修复了 sftp(1) 中的越界读取缺陷，对 sshd\_config 解析逻辑进行了大规模重构以实现更简洁的权限分离（privilege-separation）序列化，并改进了加密签名代码中的边界检查机制。

在可移植性方面，此次更新同步了 fmt\_scaled.c 和 getrrsetbyname.c 与 OpenBSD 上游代码的一致性，并修补了若干处于错误处理路径中的内存泄漏问题。

源码包已以 openssh-10.4.tar.gz 及 openssh-10.4p1.tar.gz 的形式提供，均可通过 SHA1 及经 Base64 编码的 SHA256 校验和进行验证，签名密钥可通过官方镜像站点获取。

参考链接：

https://www.openssh.org/