Abo
  • IT-Karriere:

OpenSSH & Putty: Sicherheitlücke in SCP ermöglicht Dateiaustausch

Ein bösartiger Server kann Dateien austauschen, die mittels SCP über SSH heruntergeladen werden - im schlimmsten Fall Schadcode. Insgesamt fünf Sicherheitslücken klaffen in den aktuellen Versionen von OpenSSH, Putty und WinSCP.

Artikel veröffentlicht am ,
Ob das wirklich die per SCP angeforderten Dokumente sind?
Ob das wirklich die per SCP angeforderten Dokumente sind? (Bild: nile/Pixabay)

Mit SCP (Secure Copy Protocol) können Daten zwischen verschiedenen Rechnern via das Netzwerkprotokoll SSH ausgetauscht werden. Ob die angefragten Dateien mit den empfangenen Dateien übereinstimmen, überprüft SCP jedoch nicht. Bösartige SSH-Server können die angeforderten Dateien durch andere ersetzen oder ergänzen. Auf diese Weise lassen sich beispielsweise Konfigurationsdateien im Verzeichnis von SCP austauschen oder Dateien, die Schadcode enthalten, auf dem anfragenden System platzieren. Entdeckt hat die Sicherheitslücken Harry Sintonen, der bei F-Secure arbeitet. Betroffen sind SCP in OpenSSH, PSCP in Putty sowie WinSCP. Die Sicherheitslücken wurden in den aktuellen stabilen Versionen der Programme bisher nicht geschlossen.

Stellenmarkt
  1. Versicherungskammer Bayern, Saarbrücken
  2. SSI SCHÄFER Automation GmbH, Giebelstadt

Insgesamt fand Sintonen fünf Sicherheitslücken. Mit CVE-2018-20685 lassen sich Dateirechte des Zielordners ändern. Mit zwei Sicherheitslücken lassen sich zusätzlich übertragene Dateien verbergen (CVE-2019-6109, CVE-2019-6110). Sowohl in SCP (CVE-2019-6111) als auch in WinSCP (CVE-2018-20684) fand der Sicherheitsforscher eine Lücke, mit der sich Dateien oder Ordner im Zielordner von SCP durch einen SSH-Server austauschen lassen. Hierüber kann auf Linux-Systemen beispielsweise die .bashrc ausgetauscht werden, in der Aliasse für Programme festgelegt werden können. Über einen solchen lässt sich bei einem normalen Programmaufruf Schadcode ausführen.

Betroffene Programme

Die Sicherheitslücken hat Sintonen bereits im August an die Softwareprojekte gemeldet. WinSCP ist von einer Lücke betroffen, die in Version 5.14 geschlossen wurde. Diese steht bisher nur als Release Candidate (RC) zur Verfügung. Die aktuelle OpenSSH-Version 7.9 ist von allen Lücken mit Ausnahme der WinSCP-Lücke betroffen, CVE-2018-20685 wurde zwar im November geschlossen, jedoch nicht offiziell veröffentlicht. Die aktuelle Version 0.7 von Putty wurde im Juli 2017 veröffentlicht und müsste demnach von CVE-2019-6109 und CVE-2019-6110 betroffen sein.



Anzeige
Hardware-Angebote
  1. 64,90€ (Bestpreis!)
  2. (u. a. beide Spiele zu Ryzen 9 3000 oder 7 3800X Series, eines davon zu Ryzen 7 3700X/5 3600X/7...
  3. 229€ (Bestpreis!)
  4. täglich neue Deals bei Alternate.de

hjp 21. Jan 2019

Oh, cool: Der MySQL-Client hat einen sehr ähnlichen Fehler: https://gwillem.gitlab.io...

Heldbock 16. Jan 2019

Ja stimmt, hatte ich auch nochmal nach geschaut und gefunden!

serra.avatar 15. Jan 2019

/edit/ landete im falschen tread

jude 15. Jan 2019

Ich muss etwas nicht verstanden haben... ... OK ich lese das verlinkte File.

gaym0r 15. Jan 2019

So wäre es wenn es keine Lücke geben würde. Du hast die Lücke quasi beschrieben.


Folgen Sie uns
       


Golem.de probiert 5G in Berlin aus - Bericht

Wir probieren 5G in Berlin-Adlershof aus.

Golem.de probiert 5G in Berlin aus - Bericht Video aufrufen
Atari Portfolio im Retrotest: Endlich können wir unterwegs arbeiten!
Atari Portfolio im Retrotest
Endlich können wir unterwegs arbeiten!

Ende der 1980er Jahre waren tragbare PCs nicht gerade handlich, der Portfolio von Atari war eine willkommene Ausnahme: Der erste Palmtop-Computer der Welt war klein, leicht und weitestgehend DOS-kompatibel - ideal für Geschäftsreisende aus dem Jahr 1989 und Nerds aus dem Jahr 2019.
Ein Test von Tobias Költzsch

  1. Retrokonsole Hauptverantwortlicher des Atari VCS schmeißt hin

Alexa: Das allgegenwärtige Ohr Amazons
Alexa
Das allgegenwärtige Ohr Amazons

Die kürzlich angekündigten Echo-Produkte bringen Amazons Sprachassistentin Alexa auf die Straße und damit Datenschutzprobleme in die U-Bahn oder in bisher Alexa-freie Wohnzimmer. Mehrere Landesdatenschutzbeauftragte haben Golem.de erklärt, ob und wie die Geräte eingesetzt werden dürfen.
Von Moritz Tremmel

  1. Digitaler Assistent Amazon bringt neue Funktionen für Alexa
  2. Echo Frames und Echo Loop Amazon zeigt eine Brille und einen Ring mit Alexa
  3. Alexa Answers Nutzer smarter Lautsprecher sollen Alexa Wissen beibringen

Mädchen und IT: Fehler im System
Mädchen und IT
Fehler im System

Bis zu einem gewissen Alter sind Jungen und Mädchen gleichermaßen an Technik interessiert. Wenn es dann aber um die Berufswahl geht, entscheiden sich immer noch viel mehr junge Männer als Frauen für die IT. Ein wichtiger Grund dafür ist in der Schule zu suchen.
Von Valerie Lux

  1. IT an Schulen Intelligenter Stift zeichnet Handschrift von Schülern auf
  2. 5G Milliardenlücke beim Digitalpakt Schule droht
  3. Medienkompetenz Was, Ihr Kind kann nicht programmieren?

    •  /