PuTTY: Viele kritische Lücken in der SSH-Software geschlossen

Mit der jüngst veröffentlichten Version 0.71 der SSH- und Telnet-Software PuTTY hat das Entwicklerteam um Simon Tatham viele kritische Sicherheitslücken geschlossen. Diese wurden im Rahmen eines Bug-Bounty-Programms gefunden, das von der EU im Zuge des Free and Open Source Software Auditing (FOSSA) finanziert wird.

Die Sicherheitslücken sind so weitreichend, dass Angreifer unter Umständen Schadprogramme auf einem angegriffenen System ausführen können, weshalb Nutzern ein schnelles Aktualisieren auf die neue Version geraten wird. Betroffen sind und waren sowohl die PuTTY-Variante für Windows als auch für Unix.

Eine Lücke erlaubt es Angreifern, sich in den RSA-Schlüsselaustausch einzuschalten und den Speicher zu überschreiben, bevor der Schlüssel vom Host bestätigt wurde. Unter Windows konnte eine Help-Datei im Verzeichnis von PuTTY für Angriffe genutzt werden. Über das Terminal sind zudem DoS-Attacken möglich gewesen.

Größte Lücke Dank der EU vor Release gefunden

Darüber hinaus haben die Entwickler den Verschlüsselungscode zu großen Teilen neu geschrieben, um sogenannte Seitenkanalattacken zu verhindern. Eine schwerwiegende Lücke, die einen Man-in-the-Middle-Angriff und ein Umgehen des SSH-Host-Schlüsselsystems ermöglicht hätte, sei dabei glücklicherweise noch vor Veröffentlichung durch das Bug-Bounty-Programm der EU entdeckt worden. Die EU habe fast jeden davor bewahrt, so Simon Tatham gegenüber The Register.

Security fixes found by an EU-funded bug bounty programme:
a remotely triggerable memory overwrite in RSA key exchange, which can occur before host key verification
potential recycling of random numbers used in cryptography
on Windows, hijacking by a malicious help file in the same directory as the executable
on Unix, remotely triggerable buffer overflow in any kind of server-to-client forwarding
multiple denial-of-service attacks that can be triggered by writing to the terminal
Other security enhancements: major rewrite of the crypto code to remove cache and timing side channels.

Zudem wird mit Version 0.71 von PuTTY erstmals auch eine Version für Windows on Arm angeboten.

Auch FileZilla und WinSCP betroffen

Die gefundenen Sicherheitslücken, die aufgrund der sich bietenden Möglichkeiten für Angreifer wahrscheinlich als kritisch eingestuft werden, betreffen allerdings nicht nur den SSH-Client PuTTY, sondern auch andere entsprechende Programme wie FileZilla und WinSCP, die die Codebasis ebenfalls einsetzen. Auch bei diesen Programmen sollte deshalb geprüft werden, ob zeitnah neue Versionen veröffentlicht werden. FileZilla hat erst gestern mit Version 3.41.2 reagiert, von WinSCP fehlt derzeit noch eine neue Version.