OpenSSH 10.4 リリース準備中 / Call for testing: OpenSSH 10.4

30 Jun, 2026 - 7 minutes
#ssh

OpenSSH 10.4 がリリース準備中です.

Call for testing: openssh-10.4

# https://lists.mindrot.org/pipermail/openssh-unix-dev/2026-June/042556.html

Potentially-incompatible changes
--------------------------------

互換性がなくなる可能性がある変更

 * sshd(8): configuration dump mode ("sshd -G") now writes directives
   in mixed case (e.g. "PubkeyAuthentication") whereas previously it
   emitted only lower-case names.

   sshd(8): 設定ダンプモード ("sshd -G") は、以前は小文字の名前のみを
   出力していたが、ディレクティブを大文字小文字混在 (例: "PubkeyAuthentication")
   で書き出すようになる。

 * sshd(8): on Linux systems with the seccomp sandbox enabled,
   failures to enable SECCOMP or NO_NEW_PRIVS are now fatal.
   Previously sshd(8) would log the error but continue operation,
   to support systems that lacked these features. Now systems that
   lack these should instead disable the sandbox at configure time.

   sshd(8): seccomp サンドボックスが有効な Linux システムでは、
   SECCOMP または NO_NEW_PRIVS の有効化に失敗すると致命的エラーになるようになった。
   以前は sshd(8) はこれらの機能を欠くシステムをサポートするため、
   エラーをログに記録しつつ動作を継続していた。今後、これらを欠くシステムは
   代わりに configure 時にサンドボックスを無効にすべきである。

 * ssh(1), sshd(8): make the transport protocol stricter by
   disconnecting if the peer sends non-KEX messages during a post-
   authentication key re-exchange. Previously a malicious peer could
   continue sending non-key exchange messages without penalty. These
   would be buffered, causing memory to be wasted up until the
   connection terminated or the server/client hit a memory limit.
   Implementations that do not restrict messages sent during key
   exchange as per RFC4253 section 7.1 may be disconnected.
   Reported by Marko Jevtic.

   ssh(1), sshd(8): 認証後の再鍵交換中にピアが非 KEX メッセージを
   送信した場合に切断することで、トランスポートプロトコルをより厳格にする。
   以前は悪意のあるピアがペナルティなしに非鍵交換メッセージを送信し続けることが
   できた。これらはバッファリングされ、接続が終了するか、サーバ/クライアントが
   メモリ制限に達するまでメモリが浪費されていた。RFC4253 セクション 7.1 に
   従って鍵交換中に送信されるメッセージを制限しない実装は切断される可能性がある。
   Marko Jevtic により報告。

New features
------------

新機能

 * All: add experimental support for a composite post-quantum
   signature scheme that combines ML-DSA 44 and Ed25519 as specified
   in draft-miller-sshm-mldsa44-ed25519-composite-sigs.

   All: draft-miller-sshm-mldsa44-ed25519-composite-sigs で規定されている、
   ML-DSA 44 と Ed25519 を組み合わせた複合ポスト量子署名方式の
   実験的サポートを追加する。

   This scheme is not enabled by default. To use it, you'll need
   to add it to HostKeyAlgorithms, PubkeyAcceptedAlgorithms, etc.
   Keys may be generated using "ssh-keygen -t mldsa44-ed25519".

   この方式はデフォルトでは有効になっていない。使用するには、
   HostKeyAlgorithms や PubkeyAcceptedAlgorithms などに追加する必要がある。
   キーは "ssh-keygen -t mldsa44-ed25519" を使用して生成できる。

 * ssh(1), sshd(8): replace the wildcard pattern matcher with an
   implementation based on an NFA. This avoids exponential worst-case
   behaviour for the old implementation.

   ssh(1), sshd(8): ワイルドカードパターンマッチャを NFA ベースの実装に
   置き換える。これにより、古い実装での指数関数的な最悪ケースの挙動を回避する。

Bugfixes
--------

バグ修正

 * ssh-agent(1): fix incorrect reply to "query" SSH_AGENTC_EXTENSION
   requests. bz3967

   ssh-agent(1): "query" SSH_AGENTC_EXTENSION リクエストに対する
   誤った応答を修正する。 bz3967

 * ssh(1), sshd(8): fix several bugs that incorrectly
   classified bulk traffic as interactive. bz3972, bz3958

   ssh(1), sshd(8): 一括トラフィックを誤って対話的と分類していた
   いくつかのバグを修正する。 bz3972, bz3958

 * ssh-keygen(1), ssh-add(1): skip unsupported key types when
   downloading resident keys from a FIDO token. Previously, downloads
   would abort when one was encountered. GHPR657

   ssh-keygen(1), ssh-add(1): FIDO トークンから常駐キーをダウンロードする際に、
   サポートされていないキータイプをスキップする。以前は、それに遭遇すると
   ダウンロードが中断していた。 GHPR657

 * ssh(1): fix a potential use-after-free on an error path if
   cipher_init() fails.

   ssh(1): cipher_init() が失敗した場合のエラーパスにおける潜在的な
   解放後使用 (use-after-free) を修正する。

 * sshd(8): perform stricter encoding and validation of transport
   state passed between sshd privilege separation subprocesses. This
   somewhat further hardens the server against attacks on sshd-auth
   or sshd-session subprocesses.

   sshd(8): sshd の権限分離サブプロセス間で渡されるトランスポート状態の
   より厳格なエンコードと検証を行う。これにより、sshd-auth または
   sshd-session サブプロセスへの攻撃に対してサーバをいくらか強化する。

 * ssh-agent(1): avoid possible runtime denial of service by
   enforcing some limits on the length of usernames in key use
   constraints.

   ssh-agent(1): キー使用制約におけるユーザー名の長さにいくつかの制限を
   課すことで、実行時のサービス不能攻撃の可能性を回避する。

 * sftp(1): fix two separate one-byte out-of-bounds reads, in
   SSH2_FXP_REALPATH and batch command processing.

   sftp(1): SSH2_FXP_REALPATH とバッチコマンド処理における 2 つの個別の
   1 バイト境界外読み取りを修正する。

 * sftp-server(8): disallow use of the copy-data extension to read
   and write to the same inode simultaneously.

   sftp-server(8): copy-data 拡張を使用して同じ inode に対して同時に
   読み書きすることを禁止する。

 * ssh(1), sshd(8): avoid strlen(NULL) crash if an X11 channel was
   created before the x11-req SSH_MSG_CHANNEL_REQUEST was sent.
   GHPR679

   ssh(1), sshd(8): x11-req SSH_MSG_CHANNEL_REQUEST が送信される前に
   X11 チャネルが作成された場合の strlen(NULL) クラッシュを回避する。 GHPR679

 * sftp(1), scp(1): avoid a situation where sftp_download() could get
   stuck in a loop if a broken server repeatedly returned zero length
   while reading a file.

   sftp(1), scp(1): 壊れたサーバがファイル読み取り中に長さ 0 を繰り返し
   返した場合に、sftp_download() がループに陥る状況を回避する。

 * ssh(1): avoid leaking DNS0x20 case-randomised names into names
   canonicalised using CanonicalizePermittedCNAMEs. bz3966

   ssh(1): DNS0x20 で大文字小文字がランダム化された名前が、
   CanonicalizePermittedCNAMEs を使用して正規化される名前に漏れるのを回避する。
   bz3966

 * sftp-server(8): avoid truncation of pathnames passed to lstat()
   during SSH_FXP_REALPATH handling on systems where PATH_MAX is not
   the actual max. GHPR688

   sftp-server(8): PATH_MAX が実際の最大値ではないシステムで、
   SSH_FXP_REALPATH 処理中に lstat() に渡されるパス名の切り詰めを回避する。
   GHPR688

 * ssh(1), sshd(8): correct arming of poll(2) event masks for some
   socket-type channels. GHPR660

   ssh(1), sshd(8): 一部のソケットタイプのチャネルに対する poll(2) イベント
   マスクの設定を修正する。 GHPR660

 * sshd(8): major refactor of sshd_config parsing and management
   code, to allow for more exact serialisation/deserialisation across
   privilege separation boundaries.

   sshd(8): 権限分離境界をまたいだより正確なシリアライズ/デシリアライズを
   可能にするため、sshd_config の解析・管理コードを大幅にリファクタリング。

 * ssh-add(1): open connection to the agent only after getopt()
   processing has completed, to give options like "-v" a chance to
   display debug information about this operation.

   ssh-add(1): "-v" のようなオプションがこの操作に関するデバッグ情報を
   表示する機会を与えるため、getopt() の処理が完了した後にのみ
   エージェントへの接続を開く。

 * crypto code: fix bounds checking when signing messages of length
   greater than will fit in a size_t. In OpenSSH, message sizes are
   bounded by SSHBUF_SIZE_MAX so this was unreachable.

   crypto code: size_t に収まる長さを超えるメッセージに署名する際の
   境界チェックを修正する。OpenSSH では、メッセージサイズは SSHBUF_SIZE_MAX
   によって制限されているため、これは到達不能だった。

 * crypto code: add signature malleability and pubkey validity checks
   to ed25519 verification. SSH doesn't depend on these properties

   crypto code: ed25519 検証に署名の可鍛性 (malleability) と公開鍵の有効性の
   チェックを追加する。SSH はこれらの特性に依存していない。

 * crypto code: fix ECDSA order check for curves with cofactor != 1.
   All supported EC curves have cofactor 1, so this was
   unreachable.

   crypto code: 余因子 (cofactor) が 1 でない曲線に対する ECDSA の位数 (order)
   チェックを修正する。サポートされているすべての EC 曲線は余因子 1 のため、
   これは到達不能だった。

 * sshd(8): differentiate between execution failures and a subsystem
   that was not found when logging why a subsystem failed to start.
   GHPR637

   sshd(8): サブシステムの起動に失敗した理由をログに記録する際に、
   実行の失敗とサブシステムが見つからなかった場合を区別する。 GHPR637

 * All: use safer idioms for timegm(3) and mktime(3) error detection.

   All: timegm(3) と mktime(3) のエラー検出に、より安全なイディオムを使用する。

 * ssh(1), sshd(8): avoid accepting invalid cipher or MAC lists in
   config files or command-line arguments. This could cause runtime
   failures later.

   ssh(1), sshd(8): 設定ファイルやコマンドライン引数で無効な暗号方式または
   MAC のリストを受け入れないようにする。これは後で実行時の失敗を
   引き起こす可能性があった。

 * ssh(1): fix NULL deref crash during pubkey auth when using a PEM
   style private key with no corresponding .pub key adjacent to it.

   ssh(1): 対応する .pub キーが隣に存在しない PEM 形式の秘密鍵を使用する際の、
   公開鍵認証中の NULL 参照クラッシュを修正する。

 * sshd(8): don't print an error message when trying to load a host
   private key when PKCS#11 keys are in use, as these don't need the
   private half on the filesystem. GHPR664

   sshd(8): PKCS#11 キーが使用されている場合にホスト秘密鍵を読み込もうとする際、
   これらはファイルシステム上に秘密鍵の側を必要としないため、
   エラーメッセージを表示しない。 GHPR664

 * All: don't use deprecated ERR_load_crypto_strings(). GHPR650

   All: 非推奨の ERR_load_crypto_strings() を使用しない。 GHPR650

 * ssh(1): properly report errors during configuration default
   setting. GHPR649

   ssh(1): 設定のデフォルト値設定中のエラーを適切に報告する。 GHPR649

 * ssh(1): use correct directive name (Match instead of Host) in
   error message. bz3968

   ssh(1): エラーメッセージで正しいディレクティブ名 (Host ではなく Match) を
   使用する。 bz3968

 * sftp(1): fix "ls -ln" which was not correctly showing numeric
   UID/GIDs but rather user and group names. bz3953

   sftp(1): 不正に数値の UID/GID ではなくユーザー名とグループ名を表示していた
   "ls -ln" を修正する。 bz3953

 * sshd(8): avoid possible NULL dereference if an allocation fails
   during config parsing. bz3948

   sshd(8): 設定の解析中にメモリ確保が失敗した場合の NULL 参照の可能性を
   回避する。 bz3948

 * All: fix ineffective guards against loading overly large public
   keys in several places. bz3969 and bz3970

   All: いくつかの箇所における、過度に大きい公開鍵の読み込みに対する
   効果のないガードを修正する。 bz3969 および bz3970

 * sftp(1): ensure file descriptors used by sftp to communicate to
   its ssh(1) subprocess don't leak into executed subprocesses (e.g.
   via "!"). GHPR693

   sftp(1): sftp が ssh(1) サブプロセスと通信するために使用するファイル
   ディスクリプタが、実行されるサブプロセス (例: "!" 経由) に漏れないように
   する。 GHPR693

Portability
-----------

移植性

 * Sync fmt_scaled.c with OpenBSD upstream, picking up an exactness
   fix for large exponents (GHPR671)

   fmt_scaled.c を OpenBSD アップストリームと同期し、大きな指数に対する
   正確性の修正を取り込む。 (GHPR671)

 * sshd(8): remove duplicate sandbox entry for clock_gettime64.

   sshd(8): clock_gettime64 の重複したサンドボックスエントリを削除する。

 * ssh(1), sshd(8): use correct IPTOS_DSCP_VA value if not provided
   by the system headers.

   ssh(1), sshd(8): システムヘッダで提供されていない場合に、正しい
   IPTOS_DSCP_VA 値を使用する。

 * Sync getrrsetbyname.c with OpenBSD upstream, picking up robustness
   fixes.

   getrrsetbyname.c を OpenBSD アップストリームと同期し、堅牢性の修正を
   取り込む。

 * Disable replacements in openbsd-compat for strvisx(3) and
   stravis(3), as these are unused in OpenSSH

   openbsd-compat における strvisx(3) と stravis(3) の代替実装を無効にする。
   これらは OpenSSH では使用されていないため。

 * Avoid fortify warnings on Android bz3954

   Android での fortify 警告を回避する。 bz3954

 * Fix a number of memory leaks on error paths in the portability
   code. GHPR681

   移植性コードのエラーパスにおける多数のメモリリークを修正する。 GHPR681
Read more

2026/03 の学習のまとめ

11 Apr, 2026 - 1 minutes
#current_status
#study

近況: ある案件でフルタイムで稼働中ですが、場合によっては副業もやります。

イベント

計算機最適化勉強会(オンライン） - connpass の 自作OSで学ぶマイクロカーネルの設計と実装 - 秀和システム新社 あなたの学びをサポート！

輪読しています。

Claude Code Meetup Japan #3 (Claude Code祭り!) - connpass

とても刺激になりました。

Read more

OpenSSH 10.3p1 がリリースされました

2 Apr, 2026 - 13 minutes
#ssh

2026/04/02, OpenSSH 10.3p1 がリリースされました.

# https://www.openssh.com/releasenotes.html#10.3p1

Potentially-incompatible changes
--------------------------------

互換性がなくなる可能性がある変更

 * ssh(1), sshd(8): remove bug compatibility for implementations
   that don't support rekeying. If such an implementation tries to
   interoperate with OpenSSH, it will now eventually fail when the
   transport needs rekeying.

   ssh(1), sshd(8): 再鍵交換をサポートしない実装に対する
   バグ互換性を削除する。そのような実装が OpenSSH と相互運用しようとすると、
   トランスポートが再鍵交換を必要とする際に最終的に失敗するようになる。

 * sshd(8): prior to this release, a certificate that had an empty
   principals section would be treated as matching any principal
   (i.e. as a wildcard) when used via authorized_keys principals=""
   option. This was intentional, but created a surprising and
   potentially risky situation if a CA accidentally issued a
   certificate with an empty principals section: instead of being
   useless as one might expect, it could be used to authenticate as
   any user who trusted the CA via authorized_keys. [Note that this
   condition did not apply to CAs trusted via the sshd_config(5)
   TrustedUserCAKeys option.]

   sshd(8): このリリース以前は、空のプリンシパルセクションを持つ証明書は、
   authorized_keys の principals="" オプションを通じて使用された場合、
   任意のプリンシパルに一致する (つまりワイルドカードとして) 扱われていた。
   これは意図的なものだったが、CA が誤って空のプリンシパルセクションを持つ
   証明書を発行した場合に、予想外で潜在的にリスクのある状況を生み出した。
   予想されるように使用不能になるのではなく、authorized_keys を通じて
   CA を信頼するすべてのユーザーとして認証するために使用できた。
   [この条件は sshd_config(5) の TrustedUserCAKeys オプションを通じて
   信頼された CA には適用されなかったことに注意。]

   This release treats an empty principals section as never matching
   any principal, and also fixes interpretation of wildcard
   characters in certificate principals. Now they are consistently
   implemented for host certificates and not supported for user
   certificates.

   このリリースでは、空のプリンシパルセクションはどのプリンシパルにも
   一致しないものとして扱い、証明書プリンシパルにおけるワイルドカード文字の
   解釈も修正する。ホスト証明書では一貫して実装され、
   ユーザー証明書ではサポートされない。

 * ssh(1): the -J and equivalent -oProxyJump="..." options now
   validate user and host names for ProxyJump/-J options passed
   via the command-line (no such validation is performed for this
   option in configuration files). This prevents shell injection in
   situations where these were directly exposed to adversarial
   input, which would have been a terrible idea to begin with.
   Reported by rabbit.

   ssh(1): -J および同等の -oProxyJump="..." オプションは、
   コマンドラインで渡された ProxyJump/-J オプションのユーザー名と
   ホスト名を検証するようになった (設定ファイル内のこのオプションに対しては
   そのような検証は行われない)。これは、敵対的な入力に直接さらされた
   状況でのシェルインジェクションを防止する (そもそもひどいアイデアだが)。
   rabbit により報告。

Changes since OpenSSH 10.2
==========================

OpenSSH 10.2 からの変更点

This release contains some relatively minor security fixes as well
as a number of feature improvements and general bugfixes.

このリリースには比較的軽微なセキュリティ修正のほか、
多数の機能改善と一般的なバグ修正が含まれる。

Security
========

セキュリティ

 * ssh(1): validation of shell metacharacters in user names supplied
   on the command-line was performed too late to prevent some
   situations where they could be expanded from %-tokens in
   ssh_config. For certain configurations, such as those that use a
   "%u" token in a "Match exec" block, an attacker who can control
   the user name passed to ssh(1) could potentially execute arbitrary
   shell commands.  Reported by Florian Kohnhäuser.

   ssh(1): コマンドラインで指定されたユーザー名のシェルメタ文字の
   検証が遅すぎたため、ssh_config の %-トークンから展開される状況を
   防止できない場合があった。"Match exec" ブロックで "%u" トークンを
   使用する設定などでは、ssh(1) に渡されるユーザー名を制御できる
   攻撃者が任意のシェルコマンドを実行できる可能性があった。
   Florian Kohnhäuser により報告。

   We continue to recommend against directly exposing ssh(1) and
   other tools' command-lines to untrusted input. Mitigations such
   as this can not be absolute given the variety of shells and user
   configurations in use.

   ssh(1) やその他のツールのコマンドラインを信頼できない入力に
   直接さらすことは引き続き推奨しない。使用されているシェルやユーザー設定の
   多様性を考慮すると、このような緩和策は絶対的なものにはなり得ない。

 * sshd(8): when matching an authorized_keys principals="" option
   against a list of principals in a certificate, an incorrect
   algorithm was used that could allow inappropriate matching in
   cases where a principal name in the certificate contains a
   comma character. Exploitation of the condition requires an
   authorized_keys principals="" option that lists more than one
   principal *and* a CA that will issue a certificate that encodes
   more than one of these principal names separated by a comma
   (typical CAs stronly constrain which principal names they will
   place in a certificate). This condition only applies to user-
   trusted CA keys in authorized_keys, the main certificate
   authentication path (TrustedUserCAKeys/AuthorizedPrincipalsFile)
   is not affected. Reported by Vladimir Tokarev.

   sshd(8): 証明書内のプリンシパルリストに対して authorized_keys の
   principals="" オプションを照合する際、不正なアルゴリズムが使用されており、
   証明書内のプリンシパル名にカンマ文字が含まれる場合に不適切な照合が
   行われる可能性があった。この条件の悪用には、複数のプリンシパルを
   リストする authorized_keys の principals="" オプション *かつ*
   カンマで区切られた複数のプリンシパル名をエンコードする証明書を発行する
   CA が必要である (一般的な CA は証明書に配置するプリンシパル名を
   強く制約する)。この条件は authorized_keys 内のユーザーが信頼する
   CA キーにのみ適用され、メインの証明書認証パス
   (TrustedUserCAKeys/AuthorizedPrincipalsFile) は影響を受けない。
   Vladimir Tokarev により報告。

 * scp(1): when downloading files as root in legacy (-O) mode and
   without the -p (preserve modes) flag set, scp did not clear
   setuid/setgid bits from downloaded files as one might typically
   expect. This bug dates back to the original Berkeley rcp program.
   Reported by Christos Papakonstantinou of Cantina and Spearbit.

   scp(1): レガシー (-O) モードで root としてファイルをダウンロードする際、
   -p (モード保持) フラグが設定されていない場合、scp は通常期待される
   ように、ダウンロードしたファイルから setuid/setgid ビットを
   クリアしなかった。このバグは元の Berkeley rcp プログラムにまで遡る。
   Cantina および Spearbit の Christos Papakonstantinou により報告。

 * sshd(8): fix incomplete application of PubkeyAcceptedAlgorithms
   and HostbasedAcceptedAlgorithms with regard to ECDSA keys.
   Previously if one of these directives contains any ECDSA algorithm
   name (say "ecdsa-sha2-nistp384"), then any other ECDSA algorithm
   would be accepted in its place regardless of whether it was
   listed or not.  Reported by Christos Papakonstantinou of Cantina
   and Spearbit.

   sshd(8): ECDSA キーに関する PubkeyAcceptedAlgorithms と
   HostbasedAcceptedAlgorithms の不完全な適用を修正する。以前は
   これらのディレクティブのいずれかに ECDSA アルゴリズム名
   (例: "ecdsa-sha2-nistp384") が含まれている場合、リストされているか
   どうかに関係なく、他の ECDSA アルゴリズムがその代わりに
   受け入れられていた。
   Cantina および Spearbit の Christos Papakonstantinou により報告。

 * ssh(1): connection multiplexing confirmation (requested using
   "ControlMaster ask/autoask") was not being tested for proxy mode
   multiplexing sessions (i.e. "ssh -O proxy ..."). Reported by
   Michalis Vasileiadis.

   ssh(1): 接続多重化の確認 ("ControlMaster ask/autoask" で要求) が
   プロキシモードの多重化セッション (つまり "ssh -O proxy ...") に対して
   テストされていなかった。Michalis Vasileiadis により報告。

New features
------------

新機能

 * ssh(1), sshd(8): support IANA-assigned codepoints for SSH agent
   forwarding, as per draft-ietf-sshm-ssh-agent. Support for the new
   names is advertised via the EXT_INFO message. If a server offers
   support for the new names, then they are used preferentially.

   ssh(1), sshd(8): draft-ietf-sshm-ssh-agent に従い、SSH エージェント
   転送用の IANA 割り当てコードポイントをサポートする。新しい名前の
   サポートは EXT_INFO メッセージを通じて通知される。サーバーが新しい名前の
   サポートを提供する場合、それらが優先的に使用される。

   Support for the pre-standardisation "@openssh.com" extensions for
   agent forwarding remains supported.

   エージェント転送用の標準化前の "@openssh.com" 拡張の
   サポートは引き続き維持される。

 * ssh-agent(1): implement support for draft-ietf-sshm-ssh-agent
   "query" extension.

   ssh-agent(1): draft-ietf-sshm-ssh-agent の "query" 拡張の
   サポートを実装する。

 * ssh-add(1): support querying the protocol extensions via the
   agent "query" extension with a new -Q flag.

   ssh-add(1): 新しい -Q フラグでエージェントの "query" 拡張を通じて
   プロトコル拡張を照会するサポートを追加する。

 * ssh(1): support multiple files in a ssh_config RevokedHostKeys
   directive. bz3918

   ssh(1): ssh_config の RevokedHostKeys ディレクティブで
   複数のファイルをサポートする。 bz3918

 * sshd(8): support multiple files in a sshd_config RevokedKeys
   directive bz3918

   sshd(8): sshd_config の RevokedKeys ディレクティブで
   複数のファイルをサポートする。 bz3918

 * ssh(1): add a ~I escape option that shows information about the
   current SSH connection.

   ssh(1): 現在の SSH 接続に関する情報を表示する ~I エスケープ
   オプションを追加する。

 * ssh(1): add an "ssh -Oconninfo user@host" multiplexing command
   that shows connection information, similar to the ~I escapechar.

   ssh(1): ~I エスケープ文字と同様に接続情報を表示する
   "ssh -Oconninfo user@host" 多重化コマンドを追加する。

 * ssh(1): add an "ssh -O channels user@host" multiplexing command to
   get a running mux process to show information about what channels
   are currently open.

   ssh(1): 実行中の mux プロセスから現在開いているチャネルの
   情報を表示する "ssh -O channels user@host" 多重化コマンドを追加する。

 * sshd(8): add 'invaliduser' penalty to PerSourcePenalties, which is
   applied to login attempts for usernames that do not match real
   accounts. Defaults to 5s to match 'authfail' but allows
   administrators to block such attempts for longer if desired.

   sshd(8): PerSourcePenalties に 'invaliduser' ペナルティを追加する。
   これは実際のアカウントと一致しないユーザー名でのログイン試行に
   適用される。デフォルトは 'authfail' と一致する 5 秒だが、
   管理者が望む場合はそのような試行をより長くブロックできる。

 * sshd(8): add a GSSAPIDelegateCredentials option for the server,
   controlling whether it accepts delegated credentials offered by
   the client.  This option mirrors the same option in ssh_config.
   GHPR614

   sshd(8): サーバー用の GSSAPIDelegateCredentials オプションを追加する。
   クライアントが提供する委任された資格情報を受け入れるかどうかを制御する。
   このオプションは ssh_config の同オプションと対になる。
   GHPR614

 * ssh(1), sshd(8): support the VA DSCP codepoint in the IPQoS
   directive.

   ssh(1), sshd(8): IPQoS ディレクティブで VA DSCP コードポイントを
   サポートする。

 * sshd(8): convert PerSourcePenalties to using floating point time,
   allowing penalties to be less than a second. This is useful if you
   need to penalise things you expect to occur at >=1 QPS.

   sshd(8): PerSourcePenalties を浮動小数点の時間値を使うようにし、
   1 秒未満のペナルティを可能にする。これは 1 QPS 以上で発生すると
   予想されるものにペナルティを課す必要がある場合に有用である。

 * ssh-keygen(1): support writing ED25519 keys in PKCS8 format.
   GHPR570

   ssh-keygen(1): ED25519 キーを PKCS8 形式で書き込むサポートを追加する。
   GHPR570

 * Support the ed25519 signature scheme via libcrypto.

   libcrypto 経由で ed25519 署名スキームをサポートする。

Bugfixes
--------

バグ修正

 * sshd(8): make IPQoS first-match-wins in sshd_config, like other
   configuration directives. bz3924

   sshd(8): sshd_config で IPQoS を他の設定ディレクティブと同様に
   最初の一致が優先されるようにする。 bz3924

 * sshd(8): fix potential crash when MaxStartups is using a single
   argument (i.e. not using the MaxStartps x:y:z form) to a value
   below 10. bz3941

   sshd(8): MaxStartups が単一の引数を使用している場合
   (つまり MaxStartups x:y:z 形式ではない場合) に、値が 10 未満の
   ときの潜在的なクラッシュを修正する。 bz3941

 * sshd(8): fix a potential hang during key exchange if needed DH
   group values were missing from /etc/moduli.

   sshd(8): 必要な DH グループ値が /etc/moduli にない場合の
   鍵交換中の潜在的なハングを修正する。

 * ssh-agent(1): fix return values from extensions to be correct wrt
   draft-ietf-sshm-ssh-agent: extension requests should indicate
   failure using SSH_AGENT_EXTENSION_FAILURE rather than the generic
   SSH_AGENT_FAILURE error code. This allows the client to discern
   between "the request failed" and "the agent doesn't support this
   extension".

   ssh-agent(1): draft-ietf-sshm-ssh-agent に対して正しくなるよう
   拡張からの戻り値を修正する。拡張リクエストは汎用的な
   SSH_AGENT_FAILURE エラーコードではなく
   SSH_AGENT_EXTENSION_FAILURE を使用して失敗を示すべきである。
   これにより、クライアントは「リクエストが失敗した」のか
   「エージェントがこの拡張をサポートしていない」のかを区別できる。

 * ssh(1): use fmprintf for showing challenge-response name and info
   to preserve UTF-8 characters where appropriate. Prompted by GitHub
   PR#452.

   ssh(1): チャレンジレスポンスの名前と情報の表示に fmprintf を使用し、
   適切な場合に UTF-8 文字を保持する。GitHub PR#452 による。

 * scp(1): when uploading a directory using sftp/sftp (e.g. during a
   recursive transfer), don't clobber the remote directory
   permissions unless either we created the directory during the
   transfer or the -p flag was set. bz3925

   scp(1): sftp を使用してディレクトリをアップロードする場合
   (例: 再帰転送中)、転送中にディレクトリを作成した場合または
   -p フラグが設定されている場合を除き、リモートディレクトリの
   パーミッションを上書きしない。 bz3925

 * All: implement missing pieces of FIDO/webauthn signature support,
   mostly related to certificate handling and enable acceptance of this
   signature format by default.  bz3748 GHPR624 GHPR625

   All: FIDO/webauthn 署名サポートの欠落部分を実装する。
   主に証明書の処理に関連し、この署名形式のデフォルトでの
   受け入れを有効にする。 bz3748 GHPR624 GHPR625

 * sshd_config(5): make it clear that DenyUsers/DenyGroups overrides
   AllowUsers/AllowGroups. Previously we specified the order in which
   the directives are processed but it was ambiguous as to what
   happened if both matched.

   sshd_config(5): DenyUsers/DenyGroups が AllowUsers/AllowGroups を
   オーバーライドすることを明確にする。以前はディレクティブが処理される
   順序を指定していたが、両方が一致した場合に何が起こるかは曖昧だった。

 * ssh(1): don't try to match certificates held in an agent to
   private keys. This matching is done to support certificates that
   were loaded without their private key material, but is
   unnecessary for agent-hosted certificate which always have
   private key material available in the agent. Worse, this matching
   would mess up the request sent to the agent in such a way as to
   break usage of these keys when the key usage was restricted in
   the agent.  bz3752

   ssh(1): エージェントに保持されている証明書を秘密鍵と照合しようと
   しない。この照合は秘密鍵素材なしで読み込まれた証明書をサポートする
   ために行われるが、エージェントでホストされた証明書では常に秘密鍵素材が
   エージェントで利用可能であるため不要である。さらに、この照合は
   エージェントで鍵の使用が制限されている場合にエージェントに送信される
   リクエストを壊し、これらの鍵の使用を破壊する可能性があった。 bz3752

 * sftp(1): if editline has been switched to vi mode (i.e. via "bind
   -v" in .editrc), setup a keybinding so that command mode can be
   entered.

   sftp(1): editline が vi モードに切り替えられている場合
   (例: .editrc の "bind -v")、コマンドモードに入れるように
   キーバインドを設定する。

 * ssh(1), sshd(8): improve performance of keying the sntrup761 key
   agreement algorithm.

   ssh(1), sshd(8): sntrup761 鍵合意アルゴリズムの処理性能を改善する。

 * ssh(1), sshd(8): enforce maximum packet/block limit during
   pre-authentication phase.

   ssh(1), sshd(8): 認証前フェーズ中に最大パケット/ブロック制限を
   強制する。

 * sftp(1): don't misuse the sftp limits extension's open-handles
   field. This value is supposed to be the number of handles a
   server will allow to be opened and not a number of outstanding
   read/write requests that can be sent during an upload/download.

   sftp(1): sftp limits 拡張の open-handles フィールドを誤用しない。
   この値はサーバーが開くことを許可するハンドル数であり、
   アップロード/ダウンロード中に送信できる未処理の
   読み取り/書き込みリクエスト数ではない。

 * sshd(8): don't crash at connection time if the main sshd_config
   lacks any subsystem directive but one is defined in a Match block.
   bz3906

   sshd(8): メインの sshd_config に subsystem ディレクティブがないが
   Match ブロックで定義されている場合に、接続時にクラッシュしない。
   bz3906

 * sshd_config(5): add a warning next to the ForceCommand directive
   that forcing a command doesn't automatically disable forwarding.

   sshd_config(5): ForceCommand ディレクティブの隣に、コマンドの
   強制は自動的にフォワーディングを無効にしないという警告を追加する。

 * sshd_config(5): add a warning that TOKENS are replaced without
   filtering or escaping and that it's the administrator's
   responsibility to ensure they are used safely in context.

   sshd_config(5): TOKENS はフィルタリングやエスケープなしに
   置換されるため、コンテキスト内で安全に使用されることを確認するのは
   管理者の責任であるという警告を追加する。

 * scp(1): correctly quote filenames in verbose output for local->
   local copies. bz3900

   scp(1): ローカル間コピーの詳細出力でファイル名を正しく
   クォートする。 bz3900

 * sshd(8): don't mess up the PerSourceNetBlockSize IPv6 mask if
   sscanf didn't decode it. GHPR598

   sshd(8): sscanf がデコードしなかった場合に
   PerSourceNetBlockSize の IPv6 マスクを壊さない。 GHPR598

 * ssh-add(1): when loading FIDO2 resident keys, set the comment to
   the FIDO application string. This matches the behaviour of
   ssh-keygen -K. GHPR608

   ssh-add(1): FIDO2 レジデントキーを読み込む際、コメントを
   FIDO アプリケーション文字列に設定する。これは ssh-keygen -K の
   動作と一致する。 GHPR608

 * sshd(8): don't strnvis() log messages that are going to be logged
   by sshd-auth via its parent sshd-session process, as the parent
   will also run them though strnvis(). Prevents double-escaping of
   non-printing characters in some log messages. bz3896

   sshd(8): sshd-auth が親の sshd-session プロセスを通じてログに記録する
   メッセージに strnvis() を適用しない。親も strnvis() を実行するため
   である。一部のログメッセージで非印字文字の二重エスケープを防止する。
   bz3896

 * ssh-agent(1): escape SSH_AUTH_SOCK paths that are sent to the
   shell as setenv commands. Unbreaks ssh-agent for home directory
   paths that contain whitespace. bz3884

   ssh-agent(1): シェルに setenv コマンドとして送信される
   SSH_AUTH_SOCK パスをエスケープする。空白を含むホームディレクトリ
   パスでの ssh-agent を修正する。 bz3884

 * All: Remove unnecessary checks for ECDSA public key validity.

   All: ECDSA 公開鍵の有効性の不要なチェックを削除する。

 * sshd(8): activate UnusedConnectionTimeout only after the last
   channel has closed. Previously UnusedConnectionTimeout could fire
   early after a ChannelTimeout. This was not a problem for the
   OpenSSH client because it terminates once all channels have
   closed but could cause problems for other clients (e.g. API
   clients) that do things differently.  bz3827

   sshd(8): 最後のチャネルが閉じた後にのみ UnusedConnectionTimeout を
   アクティブにする。以前は ChannelTimeout の後に
   UnusedConnectionTimeout が早期に発火する可能性があった。これは
   OpenSSH クライアントではすべてのチャネルが閉じると終了するため
   問題ではなかったが、異なる動作をする他のクライアント
   (例: API クライアント) では問題を引き起こす可能性があった。 bz3827

 * All: fix PKCS#11 key PIN entry problems introduced in
   openssh-10.1/10.2.  bz3879

   All: openssh-10.1/10.2 で導入された PKCS#11 キーの PIN 入力問題を
   修正する。 bz3879

 * scp(1): when using the SFTP protocol for transfers, fix implicit
   destination path selection when source path ends with "..". bz3871

   scp(1): SFTP プロトコルを使用した転送で、ソースパスが ".." で
   終わる場合の暗黙の宛先パス選択を修正する。 bz3871

 * sftp(1): when tab-completing a filename, ensure that the completed
   string does not end up mid-way through a multibyte character, as
   this will cause a fatal() later on. GHPR#587

   sftp(1): ファイル名のタブ補完時に、補完された文字列がマルチバイト文字の
   途中で終わらないようにする。そうでないと後で fatal() が発生する。
   GHPR#587

 * ssh-keygen(1): fix crash at exit (visible via ssh-keygen -D) when
   multiple keys loaded.

   ssh-keygen(1): 複数のキーが読み込まれている場合の終了時の
   クラッシュを修正する (ssh-keygen -D で顕在化する)。

 * scp(1)/sftp(1): correctly display bandwidths >2GBps in the
   progress meter.

   scp(1)/sftp(1): プログレスメーターで 2GBps を超える帯域幅を
   正しく表示する。

Portability
-----------

移植性

 * sshd(8): fix condition intoduced in openssh 10.2p1 stable branch
   here a PAM module that changed the requested username between
   SSH_MSG_USERAUTH_REQUEST messages during authentication could
   confuse the PAM stack and let it proceed with a different
   understanding of the active username than the rest of sshd.
   Reported by Mike Damm.

   sshd(8): openssh 10.2p1 安定版ブランチで導入された、認証中に
   SSH_MSG_USERAUTH_REQUEST メッセージ間で要求されたユーザー名を変更する
   PAM モジュールが PAM スタックを混乱させ、sshd の残りの部分とは
   異なるアクティブユーザー名の理解で処理を続行させる可能性がある
   状態を修正する。Mike Damm により報告。

 * sshd(8): immediately report interactive instructions to clients
   when using keyboard-interactive authentication with PAM. bz2876

   sshd(8): PAM を使用したキーボードインタラクティブ認証時に、
   インタラクティブな指示をクライアントに即座に報告する。 bz2876

 * sshd(8): fix duplicate PAM messages under some situations.

   sshd(8): 一部の状況で PAM メッセージが重複する問題を修正する。

 * sshd(8): don't leak PAM handle on repeat invocations. bz3882

   sshd(8): 繰り返しの呼び出しで PAM ハンドルをリークしない。 bz3882

 * All: support linking libcrypto implementations (e.g. BoringSSL)
   that require libstdc++.

   All: libstdc++ を必要とする libcrypto 実装
   (例: BoringSSL) のリンクをサポートする。

 * sshd(8): fix ut_type for btmp records, correctly using
   LOGIN_PROCESS and USER_PROCESS.

   sshd(8): btmp レコードの ut_type を修正し、LOGIN_PROCESS と
   USER_PROCESS を正しく使用する。

 * sshd(8): allow uname(3) in the seccomp sandbox. This is needed by
   zlib-ng on RISC-V platforms.

   sshd(8): seccomp サンドボックスで uname(3) を許可する。
   これは RISC-V プラットフォームの zlib-ng に必要である。

 * All: remove remaining OpenSSL_add_all_algorithms() calls.
   We already have OPENSSL_init_crypto() in the compat layer.
   Prompted by github PR#606

   All: 残りの OpenSSL_add_all_algorithms() 呼び出しを削除する。
   互換レイヤーに既に OPENSSL_init_crypto() がある。
   github PR#606 による。

 * All: fix builds on older Mac OS wrt nfds_t.

   All: nfds_t に関する古い Mac OS でのビルドを修正する。

 * mdoc2man: several improvements including better support for Dl
   and Ns inside Ic.

   mdoc2man: Ic 内の Dl と Ns のサポート改善を含むいくつかの改善。
Read more

OpenSSH 10.3 リリース準備中 / Call for testing: OpenSSH 10.3

29 Mar, 2026 - 9 minutes
#ssh

OpenSSH 10.3 がリリース準備中です.

Call for testing: openssh-10.3

# https://lists.mindrot.org/pipermail/openssh-unix-dev/2026-March/042389.html

Potentially-incompatible changes
--------------------------------

互換性がなくなる可能性がある変更

 * ssh(1), sshd(8): remove bug compatibility for implementations
   that don't support rekeying. If such an implementation tries to
   interoperate with OpenSSH, it will now eventually fail when the
   transport needs rekeying.

   ssh(1), sshd(8): 鍵の再生成をサポートしない実装に対する
   バグ互換性を削除する。そのような実装が OpenSSH と相互運用しようとすると、
   トランスポートが鍵の再生成を必要とする際に最終的に失敗するようになる。

 * ssh(1), sshd(8): no longer treat an empty certificate principals
   section as wildcard. This behaviour was inconsistently supported
   (e.g. it wasn't supported via TrustedUserCAKeys) and dangerous in
   that it could cause a mistake by the CA as creating very powerful
   certificates.

   ssh(1), sshd(8): 空の証明書プリンシパルセクションをワイルドカードとして
   扱わないようにする。この動作は一貫してサポートされていなかった
   (例: TrustedUserCAKeys ではサポートされていなかった) し、
   CA のミスにより非常に強力な証明書が作成される可能性がある点で危険だった。

   This release also fixes interpretation of wildcard characters in
   certificate principals. Now they are consistently implemented for
   host certificates and not supported for user certificates.

   このリリースでは、証明書プリンシパルにおけるワイルドカード文字の
   解釈も修正する。ホスト証明書では一貫して実装され、
   ユーザー証明書ではサポートされなくなった。

Changes since OpenSSH 10.2
==========================

OpenSSH 10.2 からの変更点

New features
------------

新機能

 * ssh(1), sshd(8): support IANA-assigned codepoints for SSH agent
   forwarding, as per draft-ietf-sshm-ssh-agent. Support for the new
   names is advertised via the EXT_INFO message. If a server offers
   support for the new names, then they are used preferentially.

   ssh(1), sshd(8): draft-ietf-sshm-ssh-agent に従い、SSH エージェント
   転送用の IANA 割り当てコードポイントをサポートする。新しい名前の
   サポートは EXT_INFO メッセージを通じて通知される。サーバーが新しい名前の
   サポートを提供する場合、それらが優先的に使用される。

   Support for the pre-standardisation "@openssh.com" extensions for
   agent forwarding remain supported.

   エージェント転送用の標準化前の "@openssh.com" 拡張の
   サポートは引き続き維持される。

 * ssh-agent(1): implement support for draft-ietf-sshm-ssh-agent
   "query" extension.

   ssh-agent(1): draft-ietf-sshm-ssh-agent の "query" 拡張の
   サポートを実装する。

 * ssh-add(1): support querying the protocol extensions via the
   agent "query" extension with a new -Q flag.

   ssh-add(1): 新しい -Q フラグでエージェントの "query" 拡張を通じて
   プロトコル拡張を照会するサポートを追加する。

 * ssh(1): support multiple files in a ssh_config RevokedHostKeys
   directive. bz3918

   ssh(1): ssh_config の RevokedHostKeys ディレクティブで
   複数のファイルをサポートする。 bz3918

 * sshd(8): support multiple files in a sshd_config RevokedKeys
   directive bz3918

   sshd(8): sshd_config の RevokedKeys ディレクティブで
   複数のファイルをサポートする。 bz3918

 * ssh(1): add a ~I escape option that shows information about the
   current SSH connection.

   ssh(1): 現在の SSH 接続に関する情報を表示する ~I エスケープ
   オプションを追加する。

 * ssh(1): add an "ssh -Oconninfo user@host" multiplexing command
   that shows connection information, similar to the ~I escapechar.

   ssh(1): ~I エスケープ文字と同様に接続情報を表示する
   "ssh -Oconninfo user@host" 多重化コマンドを追加する。

 * ssh(1): add a "ssh -O channels user@host" multiplexing command to
   get a running mux process to show information about what channels
   are currently open.

   ssh(1): 実行中の mux プロセスから現在開いているチャネルの
   情報を表示する "ssh -O channels user@host" 多重化コマンドを追加する。

 * sshd(8): add 'invaliduser' penalty to PerSourcePenalties, which is
   applied to login attempts for usernames that do not match real
   accounts. defaults to 5s to match 'authfail' but allows
   administrators to block such attempts for longer if desired.

   sshd(8): PerSourcePenalties に 'invaliduser' ペナルティを追加する。
   これは実際のアカウントと一致しないユーザー名でのログイン試行に
   適用される。デフォルトは 'authfail' と一致する 5 秒だが、
   管理者が望む場合はそのような試行をより長くブロックできる。

 * sshd(8): add a GssDelegateCreds option for the server, controlling
   whether it accepts delgated credentials offered by the client.
   This option mirrors the GssDelegateCreds option in ssh_config.
   GHPR614

   sshd(8): サーバー用の GssDelegateCreds オプションを追加する。
   クライアントが提供する委任された資格情報を受け入れるかどうかを制御する。
   このオプションは ssh_config の GssDelegateCreds オプションと対になる。
   GHPR614

 * ssh(1), sshd(8): support the VA DSCP codepoint in the IPQoS
   directive.

   ssh(1), sshd(8): IPQoS ディレクティブで VA DSCP コードポイントを
   サポートする。

 * sshd(8): convert PerSourcePenalties to using floating point time,
   allowing penalties to be less than a second. This is useful if you
   need to penalise things you expect to occur at >=1 QPS.

   sshd(8): PerSourcePenalties を浮動小数点時間に変換し、
   1 秒未満のペナルティを可能にする。これは 1 QPS 以上で発生すると
   予想されるものにペナルティを課す必要がある場合に有用である。

 * ssh-keygen(1): support writing ED25519 keys in PKCS8 format.
   GHPR570

   ssh-keygen(1): ED25519 キーを PKCS8 形式で書き込むサポートを追加する。
   GHPR570

 * Support the ed25519 signature scheme via libcrypto.

   libcrypto 経由で ed25519 署名スキームをサポートする。

Bugfixes
--------

バグ修正

 * sshd(8): make IPQoS first-match-wins in sshd_config, like other
   configuration directives. bz3924

   sshd(8): sshd_config で IPQoS を他の設定ディレクティブと同様に
   最初の一致が優先されるようにする。 bz3924

 * sshd(8): fix a potential hang during key exchange if needed DH
   group values were missing from /etc/moduli.

   sshd(8): 必要な DH グループ値が /etc/moduli にない場合の
   鍵交換中の潜在的なハングを修正する。

 * ssh-agent(1): fix return values from extensions to be correct wrt
   draft-ietf-sshm-ssh-agent: extension requests should indicate
   failure using SSH_AGENT_EXTENSION_FAILURE rather than the generic
   SSH_AGENT_FAILURE error code. This allows the client to discern
   between "the request failed" and "the agent doesn't support this
   extension".

   ssh-agent(1): draft-ietf-sshm-ssh-agent に対して正しくなるよう
   拡張からの戻り値を修正する。拡張リクエストは汎用的な
   SSH_AGENT_FAILURE エラーコードではなく
   SSH_AGENT_EXTENSION_FAILURE を使用して失敗を示すべきである。
   これにより、クライアントは「リクエストが失敗した」のか
   「エージェントがこの拡張をサポートしていない」のかを区別できる。

 * ssh(1): use fmprintf for showing challenge-response name and info
   to preserve UTF-8 characters where appropriate. Prompted by github
   PR#452.

   ssh(1): チャレンジレスポンスの名前と情報の表示に fmprintf を使用し、
   適切な場合に UTF-8 文字を保持する。github PR#452 による。

 * scp(1): when uploading a directory using sftp/sftp (e.g. during a
   recursive transfer), don't clobber the remote directory
   permissions unless either we created the directory during the
   transfer or the -p flag was set. bz3925

   scp(1): sftp を使用してディレクトリをアップロードする場合
   (例: 再帰転送中)、転送中にディレクトリを作成した場合または
   -p フラグが設定されている場合を除き、リモートディレクトリの
   パーミッションを上書きしない。 bz3925

 * All: implement missing pieces of FIDO/webauthn signature support,
   mostly related to certificate handling and enable acceptance of this
   signature format by default.  bz3748 GHPR624 GHPR625

   All: FIDO/webauthn 署名サポートの欠落部分を実装する。
   主に証明書の処理に関連し、この署名形式のデフォルトでの
   受け入れを有効にする。 bz3748 GHPR624 GHPR625

 * sshd_config(5): make it clear that DenyUsers/DenyGroups overrides
   AllowUsers/AllowGroups. Previously we specified the order in which
   the directives are processed but it was ambiguous as to what
   happened if both matched.

   sshd_config(5): DenyUsers/DenyGroups が AllowUsers/AllowGroups を
   オーバーライドすることを明確にする。以前はディレクティブが処理される
   順序を指定していたが、両方が一致した場合に何が起こるかは曖昧だった。

 * ssh(1): don't try to match certificates held in an agent to
   private keys. This matching is done to support certificates that
   were loaded without their private key material, but is
   unnecessary for agent-hosted certificate which always have
   private key material available in the agent. Worse, this matching
   would mess up the request sent to the agent in such a way as to
   break usage of these keys when the key usage was restricted in
   the agent.  bz3752

   ssh(1): エージェントに保持されている証明書を秘密鍵と照合しようと
   しない。この照合は秘密鍵素材なしで読み込まれた証明書をサポートする
   ために行われるが、エージェントでホストされた証明書では常に秘密鍵素材が
   エージェントで利用可能であるため不要である。さらに、この照合は
   エージェントで鍵の使用が制限されている場合にエージェントに送信される
   リクエストを壊し、これらの鍵の使用を破壊する可能性があった。 bz3752

 * sftp(1): if editline has been switched to vi mode (i.e. via "bind
   -v" in .editrc), setup a keybinding so that command mode can be
   entered.

   sftp(1): editline が vi モードに切り替えられている場合
   (例: .editrc の "bind -v")、コマンドモードに入れるように
   キーバインドを設定する。

 * ssh(1), sshd(8): improve performance of keying the sntrup761 key
   agreement algorithm.

   ssh(1), sshd(8): sntrup761 鍵合意アルゴリズムの鍵生成
   パフォーマンスを改善する。

 * ssh(1), sshd(8): enforce maximum packet/block limit during
   pre-authentication phase.

   ssh(1), sshd(8): 認証前フェーズ中に最大パケット/ブロック制限を
   強制する。

 * sftp(1): don't misuse the sftp limits extension's open-handles
   field. This value is supposed to be the number of handles a
   server will allow to be opened and not a number of outstanding
   read/write requests that can be sent during an upload/download.

   sftp(1): sftp limits 拡張の open-handles フィールドを誤用しない。
   この値はサーバーが開くことを許可するハンドル数であり、
   アップロード/ダウンロード中に送信できる未処理の
   読み取り/書き込みリクエスト数ではない。

 * sshd(8): don't crash at connection time if the main sshd_config
   lacks any subsystem directive but one is defined in a Match block
   bz#3906.

   sshd(8): メインの sshd_config に subsystem ディレクティブがないが
   Match ブロックで定義されている場合に、接続時にクラッシュしない。
   bz3906

 * sshd_config(5): add a warning next to the ForceCommand directive
   that forcing a command doesn't automatically disable forwarding.

   sshd_config(5): ForceCommand ディレクティブの隣に、コマンドの
   強制は自動的にフォワーディングを無効にしないという警告を追加する。

 * sshd_config(5): add a warning that TOKENS are replaced without
   filtering or escaping and that it's the administrator's
   responsibility to ensure they are used safely in context.

   sshd_config(5): TOKENS はフィルタリングやエスケープなしに
   置換されるため、コンテキスト内で安全に使用されることを確認するのは
   管理者の責任であるという警告を追加する。

 * scp(1): correctly quote filenames in verbose output for local->
   local copies. bz3900

   scp(1): ローカル間コピーの詳細出力でファイル名を正しく
   クォートする。 bz3900

 * sshd(8): don't mess up the PerSourceNetBlockSize IPv6 mask if
   sscanf didn't decode it. GHPR598

   sshd(8): sscanf がデコードしなかった場合に
   PerSourceNetBlockSize の IPv6 マスクを壊さない。 GHPR598

 * ssh-add(1): when loading FIDO2 resident keys, set the comment to
   the FIDO application string. This matches the behaviour of
   ssh-keygen -K. GHPR608

   ssh-add(1): FIDO2 レジデントキーを読み込む際、コメントを
   FIDO アプリケーション文字列に設定する。これは ssh-keygen -K の
   動作と一致する。 GHPR608

 * sshd(8): don't strnvis() log messages that are going to be logged
   by sshd-auth via its parent sshd-session process, as the parent
   will also run them though strnvis(). Prevents double-escaping of
   non-printing characters in some log messages. bz3896

   sshd(8): sshd-auth が親の sshd-session プロセスを通じてログに記録する
   メッセージに strnvis() を適用しない。親も strnvis() を実行するため
   である。一部のログメッセージで非印字文字の二重エスケープを防止する。
   bz3896

 * ssh-agent(1): escape SSH_AUTH_SOCK paths that are sent to the
   shell as setenv commands. Unbreaks ssh-agent for home directory
   paths that contain whitespace. bz3884

   ssh-agent(1): シェルに setenv コマンドとして送信される
   SSH_AUTH_SOCK パスをエスケープする。空白を含むホームディレクトリ
   パスでの ssh-agent を修正する。 bz3884

 * All: Remove unnecessary checks for ECDSA public key validity.

   All: ECDSA 公開鍵の有効性の不要なチェックを削除する。

 * sshd(8): activate UnusedConnectionTimeout only after the last
   channel has closed. Previously UnusedConnectionTimeout could fire
   early after a ChannelTimeout. This was not a problem for the
   OpenSSH client because it terminates once all channels have
   closed but could cause problems for other clients (e.g. API
   clients) that do things differently.  bz3827

   sshd(8): 最後のチャネルが閉じた後にのみ UnusedConnectionTimeout を
   アクティブにする。以前は ChannelTimeout の後に
   UnusedConnectionTimeout が早期に発火する可能性があった。これは
   OpenSSH クライアントではすべてのチャネルが閉じると終了するため
   問題ではなかったが、異なる動作をする他のクライアント
   (例: API クライアント) では問題を引き起こす可能性があった。 bz3827

 * All: fix PKCS#11 key PIN entry problems introduced in
   openssh-10.1/10.2.  bz3879

   All: openssh-10.1/10.2 で導入された PKCS#11 キーの PIN 入力問題を
   修正する。 bz3879

 * scp(1): when using the SFTP protocol for transfers, fix implicit
   destination path selection when source path ends with "..". bz3871

   scp(1): SFTP プロトコルを使用した転送で、ソースパスが ".." で
   終わる場合の暗黙の宛先パス選択を修正する。 bz3871

 * sftp(1): when tab-completing a filename, ensure that the completed
   string does not end up mid-way through a multibyte character, as
   this will cause a fatal() later on. GHPR#587

   sftp(1): ファイル名のタブ補完時に、補完された文字列がマルチバイト文字の
   途中で終わらないようにする。そうでないと後で fatal() が発生する。
   GHPR#587

 * ssh-keygen(1): fix crash at exit (visible via ssh-keygen -D) when
   multiple keys loaded.

   ssh-keygen(1): 複数のキーが読み込まれている場合の終了時の
   クラッシュを修正する (ssh-keygen -D で顕在化する)。

Portability
-----------

移植性

 * sshd(8): immediately report interactive instructions to clients
   when using keyboard-interactive authentication with PAM. bz2876

   sshd(8): PAM を使用したキーボードインタラクティブ認証時に、
   インタラクティブな指示をクライアントに即座に報告する。 bz2876

 * sshd(8): fix duplicate PAM messages under some situations.

   sshd(8): 一部の状況で PAM メッセージが重複する問題を修正する。

 * sshd(8): don't leak PAM handle on repeat invocations. bz3882

   sshd(8): 繰り返しの呼び出しで PAM ハンドルをリークしない。 bz3882

 * All: support linking libcrypto implementations (e.g. BoringSSL)
   that required libstdc++.

   All: libstdc++ を必要とする libcrypto 実装
   (例: BoringSSL) のリンクをサポートする。

 * sshd(8): fix ut_type for btmp records, correctly using
   LOGIN_PROCESS and USER_PROCESS.

   sshd(8): btmp レコードの ut_type を修正し、LOGIN_PROCESS と
   USER_PROCESS を正しく使用する。

 * sshd(8): allow uname(3) in the seccomp sandbox. This is needed by
   zlib-ng on RISC-V platforms.

   sshd(8): seccomp サンドボックスで uname(3) を許可する。
   これは RISC-V プラットフォームの zlib-ng に必要である。

 * All: remove remaining OpenSSL_add_all_algorithms() calls.
   We already have OPENSSL_init_crypto() in the compat layer.
   Prompted by github PR#606

   All: 残りの OpenSSL_add_all_algorithms() 呼び出しを削除する。
   互換レイヤーに既に OPENSSL_init_crypto() がある。
   github PR#606 による。

 * All: fix builds on older Mac OS wrt nfds_t.

   All: nfds_t に関する古い Mac OS でのビルドを修正する。

 * mdoc2man: several improvements including better support for Dl
   and Ns inside Ic.

   mdoc2man: Ic 内の Dl と Ns のサポート改善を含むいくつかの改善。
Read more

2026/02 の学習のまとめ

16 Mar, 2026 - 1 minutes
#current_status
#study

近況: ある案件でフルタイムで稼働中ですが、場合によっては副業もやります。

イベント

計算機最適化勉強会(オンライン） - connpass の 自作OSで学ぶマイクロカーネルの設計と実装 - 秀和システム新社 あなたの学びをサポート！

輪読しています。

Cyber-sec+ Meetup vol.8 - connpass

参加しました。セキュリティチェックシートなどの話でした。 ビール以外の酒が足りないので、ビール以外の酒のスポンサーになります。

Read more

開発環境現状確認 2026

15 Jan, 2026 - 2 minutes
#dev
#environment

流行りに乗って書いてみる。

設定

haruyama/Settings にまとめている

OS

Ubuntu の最新版を利用している。現在は 25.10。メインの開発マシンとノートPCで利用している。

開発用ではないが法人での申請とかゲームとかのために Windows 11 のマシンも 1 つあり、いざとなれば開発用にも利用できる。

Read more
1/15
>>