• IT-Karriere:
  • Services:

OpenSSH & Putty: Sicherheitlücke in SCP ermöglicht Dateiaustausch

Ein bösartiger Server kann Dateien austauschen, die mittels SCP über SSH heruntergeladen werden - im schlimmsten Fall Schadcode. Insgesamt fünf Sicherheitslücken klaffen in den aktuellen Versionen von OpenSSH, Putty und WinSCP.

Artikel veröffentlicht am ,
Ob das wirklich die per SCP angeforderten Dokumente sind?
Ob das wirklich die per SCP angeforderten Dokumente sind? (Bild: nile/Pixabay)

Mit SCP (Secure Copy Protocol) können Daten zwischen verschiedenen Rechnern via das Netzwerkprotokoll SSH ausgetauscht werden. Ob die angefragten Dateien mit den empfangenen Dateien übereinstimmen, überprüft SCP jedoch nicht. Bösartige SSH-Server können die angeforderten Dateien durch andere ersetzen oder ergänzen. Auf diese Weise lassen sich beispielsweise Konfigurationsdateien im Verzeichnis von SCP austauschen oder Dateien, die Schadcode enthalten, auf dem anfragenden System platzieren. Entdeckt hat die Sicherheitslücken Harry Sintonen, der bei F-Secure arbeitet. Betroffen sind SCP in OpenSSH, PSCP in Putty sowie WinSCP. Die Sicherheitslücken wurden in den aktuellen stabilen Versionen der Programme bisher nicht geschlossen.

Stellenmarkt
  1. über eTec Consult GmbH, Südliches Badenwürtemberg
  2. ServiceOcean SalesDE GmbH, Köln

Insgesamt fand Sintonen fünf Sicherheitslücken. Mit CVE-2018-20685 lassen sich Dateirechte des Zielordners ändern. Mit zwei Sicherheitslücken lassen sich zusätzlich übertragene Dateien verbergen (CVE-2019-6109, CVE-2019-6110). Sowohl in SCP (CVE-2019-6111) als auch in WinSCP (CVE-2018-20684) fand der Sicherheitsforscher eine Lücke, mit der sich Dateien oder Ordner im Zielordner von SCP durch einen SSH-Server austauschen lassen. Hierüber kann auf Linux-Systemen beispielsweise die .bashrc ausgetauscht werden, in der Aliasse für Programme festgelegt werden können. Über einen solchen lässt sich bei einem normalen Programmaufruf Schadcode ausführen.

Betroffene Programme

Die Sicherheitslücken hat Sintonen bereits im August an die Softwareprojekte gemeldet. WinSCP ist von einer Lücke betroffen, die in Version 5.14 geschlossen wurde. Diese steht bisher nur als Release Candidate (RC) zur Verfügung. Die aktuelle OpenSSH-Version 7.9 ist von allen Lücken mit Ausnahme der WinSCP-Lücke betroffen, CVE-2018-20685 wurde zwar im November geschlossen, jedoch nicht offiziell veröffentlicht. Die aktuelle Version 0.7 von Putty wurde im Juli 2017 veröffentlicht und müsste demnach von CVE-2019-6109 und CVE-2019-6110 betroffen sein.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. Cyberpunk 2077 für 29,99€, Monster Train für 15,99€, Nioh - The Complete Edition...
  2. (u. a. WD Black SN850 PCIe-4.0-SSD 1TB 199€ (inkl. Direktabzug), WD Red Plus NAS-Festplatte 4 TB...
  3. (u. a. Knives Out für 8,88€, Das Boot - Director's Cut für 8,88€, Angel has Fallen für 9...
  4. (u. a. HP 25x 24,5 Zoll Full-HD 144 Hz für 168,68€, Microsoft Surface Pro X für 898,89€)

hjp 21. Jan 2019

Oh, cool: Der MySQL-Client hat einen sehr ähnlichen Fehler: https://gwillem.gitlab.io...

Heldbock 16. Jan 2019

Ja stimmt, hatte ich auch nochmal nach geschaut und gefunden!

serra.avatar 15. Jan 2019

/edit/ landete im falschen tread

jude 15. Jan 2019

Ich muss etwas nicht verstanden haben... ... OK ich lese das verlinkte File.

gaym0r 15. Jan 2019

So wäre es wenn es keine Lücke geben würde. Du hast die Lücke quasi beschrieben.


Folgen Sie uns
       


Apple Macbook Air M1 - Test

Kann das Notebook mit völlig neuem und eigens entwickeltem System-on-a-Chip überzeugen? Wir sind überrascht, wie sehr das der Fall ist.

Apple Macbook Air M1 - Test Video aufrufen
Google vs. Oracle: Das wichtigste Urteil der IT seit Jahrzehnten
Google vs. Oracle
Das wichtigste Urteil der IT seit Jahrzehnten

Der Prozess Google gegen Oracle wird in diesem Jahr enden. Egal welche Seite gewinnt, die Entscheidung wird die IT-Landschaft langfristig prägen.
Eine Analyse von Sebastian Grüner


    Laschet, Merz, Röttgen: Mit digitalem Bullshit-Bingo zum CDU-Vorsitz
    Laschet, Merz, Röttgen
    Mit digitalem Bullshit-Bingo zum CDU-Vorsitz

    Die CDU wählt am Wochenende einen neuen Vorsitzenden. Merz, Laschet und Röttgens Chefstrategin Demuth haben bei Netzpolitik noch einiges aufzuholen.
    Ein IMHO von Friedhelm Greis

    1. Digitale Abstimmung Armin Laschet ist neuer CDU-Vorsitzender
    2. Netzpolitik Rechte Community-Webseite Voat macht Schluss

    Notebook-Displays: Tschüss 16:9, hallo 16:10!
    Notebook-Displays
    Tschüss 16:9, hallo 16:10!

    Endlich schwenken die Laptop-Hersteller auf Displays mit mehr Pixeln in der Vertikalen um. Das war überfällig - ist aber noch nicht genug.
    Ein IMHO von Marc Sauter

    1. Microsoft LTE-Laptops für Schüler kosten 200 US-Dollar
    2. Galaxy Book Flex2 5G Samsungs Notebook unterstützt S-Pen und 5G
    3. Expertbook B9 (B9400) Ultrabook von Asus nutzt Tiger Lake und Thunderbolt 4

      •  /