OpenSSH & Putty: Sicherheitlücke in SCP ermöglicht Dateiaustausch

Ein bösartiger Server kann Dateien austauschen, die mittels SCP über SSH heruntergeladen werden - im schlimmsten Fall Schadcode. Insgesamt fünf Sicherheitslücken klaffen in den aktuellen Versionen von OpenSSH, Putty und WinSCP.

Artikel veröffentlicht am ,
Ob das wirklich die per SCP angeforderten Dokumente sind?
Ob das wirklich die per SCP angeforderten Dokumente sind? (Bild: nile/Pixabay)

Mit SCP (Secure Copy Protocol) können Daten zwischen verschiedenen Rechnern via das Netzwerkprotokoll SSH ausgetauscht werden. Ob die angefragten Dateien mit den empfangenen Dateien übereinstimmen, überprüft SCP jedoch nicht. Bösartige SSH-Server können die angeforderten Dateien durch andere ersetzen oder ergänzen. Auf diese Weise lassen sich beispielsweise Konfigurationsdateien im Verzeichnis von SCP austauschen oder Dateien, die Schadcode enthalten, auf dem anfragenden System platzieren. Entdeckt hat die Sicherheitslücken Harry Sintonen, der bei F-Secure arbeitet. Betroffen sind SCP in OpenSSH, PSCP in Putty sowie WinSCP. Die Sicherheitslücken wurden in den aktuellen stabilen Versionen der Programme bisher nicht geschlossen.

Stellenmarkt
  1. Systemmanager (m/w/d) Bürokommunikation
    Staatliche Lotterieverwaltung in Bayern, München
  2. IT-Koordinator Softwareentwicklung (m/w/d)
    Bundesgesellschaft für Endlagerung mbH (BGE), Peine
Detailsuche

Insgesamt fand Sintonen fünf Sicherheitslücken. Mit CVE-2018-20685 lassen sich Dateirechte des Zielordners ändern. Mit zwei Sicherheitslücken lassen sich zusätzlich übertragene Dateien verbergen (CVE-2019-6109, CVE-2019-6110). Sowohl in SCP (CVE-2019-6111) als auch in WinSCP (CVE-2018-20684) fand der Sicherheitsforscher eine Lücke, mit der sich Dateien oder Ordner im Zielordner von SCP durch einen SSH-Server austauschen lassen. Hierüber kann auf Linux-Systemen beispielsweise die .bashrc ausgetauscht werden, in der Aliasse für Programme festgelegt werden können. Über einen solchen lässt sich bei einem normalen Programmaufruf Schadcode ausführen.

Betroffene Programme

Die Sicherheitslücken hat Sintonen bereits im August an die Softwareprojekte gemeldet. WinSCP ist von einer Lücke betroffen, die in Version 5.14 geschlossen wurde. Diese steht bisher nur als Release Candidate (RC) zur Verfügung. Die aktuelle OpenSSH-Version 7.9 ist von allen Lücken mit Ausnahme der WinSCP-Lücke betroffen, CVE-2018-20685 wurde zwar im November geschlossen, jedoch nicht offiziell veröffentlicht. Die aktuelle Version 0.7 von Putty wurde im Juli 2017 veröffentlicht und müsste demnach von CVE-2019-6109 und CVE-2019-6110 betroffen sein.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Opel Mokka-e im Praxistest
Reichweitenangst kickt mehr als Koffein

Ist ein Kompakt-SUV wie Opel Mokka-e für den Urlaub geeignet? Im Praxistest war nicht der kleine Akku das eigentliche Problem.
Ein Test von Friedhelm Greis

Opel Mokka-e im Praxistest: Reichweitenangst kickt mehr als Koffein
Artikel
  1. Statt TCP: Quic ist schwer zu optimieren
    Statt TCP
    Quic ist schwer zu optimieren

    Eine Untersuchung von Quic im Produktiveinsatz zeigt: Die Vorteile des Protokolls sind wohl weniger wichtig als die Frage, wer es einsetzt.

  2. Lockbit 2.0: Ransomware will Firmen-Insider rekrutieren
    Lockbit 2.0
    Ransomware will Firmen-Insider rekrutieren

    Die Ransomware-Gruppe Lockbit sucht auf ungewöhnliche Weise nach Insidern, die ihr Zugangsdaten übermitteln sollen.

  3. Galactic Starcruiser: Disney eröffnet immersives (und teures) Star-Wars-Hotel
    Galactic Starcruiser
    Disney eröffnet immersives (und teures) Star-Wars-Hotel

    Wer schon immer zwei Tage lang wie in einem Star-Wars-Abenteuer leben wollte, bekommt ab dem Frühjahr 2022 die Chance dazu - das nötige Kleingeld vorausgesetzt.

hjp 21. Jan 2019

Oh, cool: Der MySQL-Client hat einen sehr ähnlichen Fehler: https://gwillem.gitlab.io...

Heldbock 16. Jan 2019

Ja stimmt, hatte ich auch nochmal nach geschaut und gefunden!

serra.avatar 15. Jan 2019

/edit/ landete im falschen tread

jude 15. Jan 2019

Ich muss etwas nicht verstanden haben... ... OK ich lese das verlinkte File.

gaym0r 15. Jan 2019

So wäre es wenn es keine Lücke geben würde. Du hast die Lücke quasi beschrieben.



Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Fire TV Stick 4K Ultra HD 29,99€, Echo Dot 3. Gen. 24,99€ • Robas Lund DX Racer Gaming-Stuhl 143,47€ • HyperX Cloud II Gaming-Headset 59€ • Media Markt Breaking Deals [Werbung]
    •  /