http://marc.theaimsgroup.com/?l=openssh-unix-dev&m=106433509529633&w=2 Security Changes: ================= セキュリティに関する変更 Portable OpenSSH version 3.7p1 and 3.7.1p1 contain multiple vulnerabilities in the new PAM authentication code. At least one of these bugs is remotely exploitable (under a non-standard configuration, with privsep disabled). 移植版 OpenSSH 3.7p1 と 3.7.1p1には 新しいPAM認証コードの中に 複数の脆弱性がある. これらのバグの中のすくなくとも一つは リモートで攻撃可能だ (標準的でない設定で, privsepを無効にした場合に). OpenSSH 3.7.1p2 fixes these bugs. Please note that these bugs do not exist in OpenBSD's releases of OpenSSH. OpenSSH 3.7.1p2でこれらのバグを修正した. これらのバグは OpenBSD の OpenSSHのリリースには存在しないことに注意してほしい. #訳注: http://www.st.ryukoku.ac.jp/%7Ekjm/security/memo/2003/09.html#20030922_openssh # の修正も取りこまれているようだ Changes since OpenSSH 3.7.1p1: ============================== OpenSSH 3.7.1p1 からの変更 * This release disables PAM by default. To enable it, set "UsePAM yes" in sshd_config. Due to complexity, inconsistencies in the specification and differences between vendors' PAM implementations we recommend that PAM be left disabled in sshd_config unless there is a need for its use. Sites using only public key or simple password authentication usually have little need to enable PAM support. このリリースでは デフォルトで PAMが無効になっている. 有効にするには, sshd_configで "UsePAM yes" と設定せよ. 複雑さと, 仕様の一貫性のなさ, ヴェンダーのPAMの実装の間の差異のために, 使う必要がなければ, sshd_configで無効にしたままにすることを推奨する. 公開鍵認証と 単純なパスワード認証を使うサイトでは通常 PAM サポートを有効にする 必要はほとんどない. #訳注: http://marc.theaimsgroup.com/?l=openssh-unix-dev&m=106438040111991&w=2 # に詳しく書いてある * This release now requires zlib 1.1.4 to build correctly. Previous versions have security problems. このリリースでは 正しくビルドするのに zlib 1.1.4 が必要となった. zlibの以前のバージョンはセキュリティの問題がある. * Fix compilation for versions of OpenSSL before 0.9.6. Some cipher modes are not supported for older OpenSSL versions. 0.9.6 より前のバージョンの OpenSSL を使うコンパイルを修正した. より古い OpenSSL のバージョンに対しては いくつかの暗号モードが サポートされない. * Fix compilation problems on systems with a missing or lacking inet_ntoa() function. inet_ntoa() 関数が見付からなかったりなかったりするシステムでの コンパイルの問題を修正した. * Workaround problems related to unimplemented or broken setresuid/setreuid functions on several platforms. いくつかのプラットフォームで setresuid/setreuid 関数が実装されていなかったり 壊れていることに関連する問題に対処した. * Fix compilation on older OpenBSD systems. より古い OpenBSD システムでのコンパイルを修正した. * Fix handling of password-less authentication (PermitEmptyPasswords=yes) that has not worked since the 3.7p1 release. 3.7p1リリースから働いていなかった パスワードなし認証 (PermitEmptyPasswords=yes) の扱いを修正した.