Hatten die Entwickler rund um OpenBSD-Ikone Theo de Raadt erst vier Tage zuvor die Version 4.9 veröffentlicht, schoben sie nun nach einer von den Debian-Maintainern entdeckten Schwachstelle im X11-Forward die runde Version 5.0 nach. Das Ende März erschienene Release 4.9 unterstützte chroot()-Support für den SSH-Server, den als Maskottchen ein Kugelfisch ziert. Es enthielt einige Änderungen im SFTP-Server und sonstige Anpassungen, die hauptsächlich das Standardverhalten in einigen Sondersituationen betraf.

Die Entwickler, die sonst immer sorgsam darauf bedacht sind, keine ungepatchten Schwachstellen bekannt werden zu lassen, mussten zähneknirschend feststellen, dass der Finne Timo Juhani Lindfors einen Fehler im der X11-Weiterleitung gefunden hatte: Normalerweise simuliert der SSH-Daemon bei einer X11-Weiterleitung einen virtuellen X-Server, typischerweise mit dem Namen ":10" und ordnet diesem den lokalen TCP-Port 6010 zu. Ein Angreifer benötigt nur normale Benutzerrechte, um beispielsweise mittels Netcat einen Listener auf diesen Port zu setzen. Ist dies der Fall und öffnet ein Benutzer eine SSH-Verbindung zu diesem System mit X11-Weiterleitung, so prüft der Server nicht hinreichend, ob der entsprechende Port schon belegt ist, wenn gleichzeitig ein korrespondierender IPv6-Port verfügbar ist. Viele moderne Linux-Systeme haben mittlerweile IPv6 aktiviert. Ein auf dem Server-System gestarteter X11-Client, etwa ein Editor, sendet jedoch trotzdem weiter seine X11-Credentials, die so genannten MIT-Magic-Cookies, an den Listener des Angreifers. Damit kann er die Sitzung des Anwenders übernehmen.

Typischerweise kommt die Schwachstelle nicht zum Tragen, da zumindest Debian in der Defaultkonfiguration X11-Forwarding deaktiviert hat. Dennoch empfehlen die Maintainer, auf die Version 5.0 zu aktualisieren. Die Entwickler bemängelten, dass das Debian-Team nicht die extra zu diesem Zweck eingerichtete Mailingliste verwendet habe, reagierte jedoch umgehend mit einem Patch, der den Fehler offenkundig behebt. Die Schwachstelle ist im Mitre als CVE-2008-1483 gelistet.

Update: In einer Stellungnahme weisen die OpenSSH-Entwickler darauf hin, dass sie sich zur Full Disclosure bekennen und bei Schwachstellen keine Verschleierungspolitik betreiben.