OpenBSD 8.0が2026年10月20日にリリースされました。カーネル、ネットワークサービス、暗号ライブラリ、ソフトウェア更新基盤の各分野でセキュリティが改善されています。
同プロジェクトにとって61回目となる今回のリリースには、OpenSSH 10.6とLibreSSL 4.4.0が含まれます。仮想化機能の拡張やアーキテクチャの更新も行われました。
今回のリリースでは、メモリ安全性に関する欠陥の修正、特権分離の強化、信頼できない入力に対する検証の厳格化が行われました。暗号関連の変更としては、複合型ポスト量子SSH署名の実験的サポートや、libtlsにおけるTLS 1.3接続向けの優先ハイブリッド鍵交換グループの採用が挙げられます。
OpenSSH 10.6は、ML-DSAとEd25519を組み合わせた複合署名方式mldsa44-ed25519の実験的サポートを追加しました。従来のベンダー固有の識別子に代えて、IANAが割り当てたssh-mldsa44-ed25519用のコードポイントを使用しています。
この機能は、単に新たなSSH鍵交換方式を加えるものではなく、認証署名に関わるものです。なお、リリースノートでは、ML-KEM/ECDHの相互運用性に関する修正が別項目として挙げられています。
「実験的」という位置づけは引き続き重要です。リリースノートは、複合署名を既定の認証方式として説明していません。
OpenSSHはまた、Ed25519の検証に署名の可鍛性（マリアビリティ）チェックと公開鍵の有効性チェックを追加しました。あわせて、一部の鍵解析・検証処理を認証前の攻撃対象領域から取り除いています。
SSHにはほかにも修正が入りました。サイドチャネルによる情報漏えいの可能性を避けるためLZ77辞書コーダを無効化し、ChannelTimeoutとRekeyLimitの設定が正しく適用されるようにしています。さらに、DisableForwardingがPermitTunnelより優先されるようになり、authorized_keysのrestrictオプションがトンネル転送も正しく対象とするようになりました。
LibreSSL 4.4.0では、libtlsにおけるTLS 1.3接続の優先グループがX25519MLKEM768になりました。X.509の名前制約の解析不具合を修正し、バッファリングするDTLSハンドシェイクメッセージにも上限を設けています。また、ステープルされた応答を要求するクライアントに影響するOCSPレスポンダー認可のバイパスにも対処しました。
カーネルでは、KERN_PROC_ARGS処理での整数オーバーフロー、ELF構造体を介した情報漏えい、実行ファイルパスの扱いにおける弱点が修正されました。
amd64では、カーネルの仮想アドレス空間が4GBから512GBに拡大されます。物理メモリのダイレクトマップはランダム化された位置へ移されました。
ネットワークに面するコンポーネントにも、広範な防御策が施されました。dhcpdは、悪意あるアドレスデータによるクラッシュや、DHCPINFORMメッセージを介したメモリ枯渇に耐えられるようになっています。
OpenBSDによると、ikedは不正な形式のIKEv2メッセージや状態に合わない順序のメッセージを拒否します。isakmpdには、ペイロードサイズの検証と境界チェックが追加されました。
pfファイアウォールでは、境界外読み取り、ヌルポインタ参照、コネクションカウンタの競合状態を修正しました。細工されたTCPリセットパケットによって接続状態が不正に破棄される問題も防ぎます。
httpdとrelaydでは、HTTP処理がより厳格になりました。該当コンポーネントでは、曖昧なリクエストのフレーミング、廃止された折り返しヘッダー、重複するContent-Lengthヘッダーを拒否します。既定のTLS暗号ポリシーもsecureに切り替わりました。httpdとsmtpdは、起動時にランダムに再リンクされます。
ファームウェアの更新では、ローカルのSHA256.sig署名を検証し、ダウンロードサイズを制限し、アーカイブの展開先パスも制限するようになりました。パッケージインストーラーは、既定の検索パスからカレントディレクトリを外しています。syspatchには、悪意あるスクリプトに対する保護が加わりました。
仮想化では、ゲストあたり最大64個の仮想CPUをサポートしました。vmdが不正な形式のELFファイルを読み込む際の境界外読み取りも防止されます。既存のOpenBSD 7.9環境については、プロジェクトのアップグレードガイドにアップグレード手順が記載されています。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/openbsd-8-0-released-security-hardening/
