Abo
  • IT-Karriere:

SSH-Software: Kritische Sicherheitslücken in Putty

In der SSH-Software Putty sind im Rahmen eines von der EU finanzierten Bug-Bounty-Programms mehrere schwerwiegende Sicherheitslücken entdeckt worden. Der verwundbare Code wird auch von anderen Projekten wie Filezilla und WinSCP verwendet.

Artikel veröffentlicht am , Hanno Böck
Zwei PCs mit einem SSH-Kanal sicher verbinden - das soll die Software Putty gewährleisten, doch jetzt wurden mehrere kritische Sicherheitslücken gefunden.
Zwei PCs mit einem SSH-Kanal sicher verbinden - das soll die Software Putty gewährleisten, doch jetzt wurden mehrere kritische Sicherheitslücken gefunden. (Bild: Putty)

Die Entwickler der freien Software Putty haben eine neue Version veröffentlicht, in der mehrere Sicherheitslücken behoben wurden. Der kritischste Bug ist eine Memory-Corruption-Lücke, die das Überschreiben von Speicher erlaubte. Diese konnte von einem bösartigen Server noch vor der Überprüfung der Serveridentität ausgelöst werden.

Stellenmarkt
  1. Awinta GmbH, Bietigheim-Bissingen
  2. Hays AG, Leipzig

Putty ist eine Implementierung des SSH-Protokolls. Vor allem unter Windows wird Putty häufig genutzt, es gibt aber auch eine Linux-Version. Das Fossa-Projekt der EU (Free and Open Source Software Auditing) finanziert seit einiger Zeit ein Bug-Bounty-Programm für Putty. Personen, die Sicherheitslücken in der Software finden und an das Projekt melden, können dafür Geldprämien erhalten.

Memory Corruption und Fehler bei der Verwendung von Zufallszahlen

Das hat wohl gut funktioniert: In der jetzt veröffentlichten Version 0.71 sind eine ganze Reihe von kritischen Fehlern behoben. Die bereits genannte Memory-Corruption-Lücke tritt bei der Verarbeitung von RSA-Schlüsseln auf und könnte von einem Netzwerkangreifer genutzt werden, um Schadcode auf dem System eines Anwenders auszuführen. Weiterhin wurde ein Fehler bei der Verwendung von Zufallszahlen gefunden. Unter Windows kann eine Help-Datei, die sich im selben Verzeichnis wie die Putty-Datei befindet, für Angriffe genutzt werden. Auf Unix-Systemen gibt es zudem einen Buffer Overflow bei Forwarding-Funktionen.

Auch Anwender, die Putty nicht direkt nutzen, sind möglicherweise betroffen, denn eine ganze Reihe von grafischen Frontends für SSH und das zugehörige Dateiübertragungsprotokoll SFTP setzen den Code von Putty ein. Filezilla hat eine neue Version 3.41.2 herausgebracht und darin die Lücke bei der RSA-Schlüsselverarbeitung behoben. Die anderen Lücken werden nicht erwähnt. In WinSCP wird laut Bugtracker daran gearbeitet, die Bugs im Git-Repository zu beheben, eine neue Version gibt es aber bislang nicht.

Wer Putty oder eines der anderen betroffenen Programme nutzt, sollte schnellstmöglich die aktuellste Version installieren und in nächster Zeit prüfen, ob weitere Sicherheitsupdates veröffentlicht werden.

Nachtrag vom 20. März 2019, 14:55 Uhr

WinSCP hat inzwischen mit der Version 5.13.9 ebenfalls ein Sicherheitsupdate veröffentlicht, in dem der PuTTY-Code aktualisiert wurde.



Anzeige
Hardware-Angebote
  1. 229€ (Bestpreis!)
  2. (reduzierte Überstände, Restposten & Co.)
  3. 279,90€

heikom36 23. Mär 2019

Wer auf Sicherheit Wert legt, der nutzt grundsätzlich keine Passwortmanager und erweitert...

FreiGeistler 21. Mär 2019

Windows nutzt das noch! *motz* Glaubst du die haben den Source der Aufgabenplanung und...

a user 20. Mär 2019

Für einen Behinderten mögen das Krücken sein, für einen Tänzer ein Instrument.

mnementh 19. Mär 2019

Julia Reda hat maßgeblich das Projekt Fossa mit in die Wege geleitet. Das Projekt hilft...

Mingfu 19. Mär 2019

Soll in diese neue Version 0.71 ebenfalls integriert sein. Auszug aus dem Changelog:


Folgen Sie uns
       


Golem.de probiert 5G in Berlin aus - Bericht

Wir probieren 5G in Berlin-Adlershof aus.

Golem.de probiert 5G in Berlin aus - Bericht Video aufrufen
Atari Portfolio im Retrotest: Endlich können wir unterwegs arbeiten!
Atari Portfolio im Retrotest
Endlich können wir unterwegs arbeiten!

Ende der 1980er Jahre waren tragbare PCs nicht gerade handlich, der Portfolio von Atari war eine willkommene Ausnahme: Der erste Palmtop-Computer der Welt war klein, leicht und weitestgehend DOS-kompatibel - ideal für Geschäftsreisende aus dem Jahr 1989 und Nerds aus dem Jahr 2019.
Ein Test von Tobias Költzsch

  1. Retrokonsole Hauptverantwortlicher des Atari VCS schmeißt hin

Alexa: Das allgegenwärtige Ohr Amazons
Alexa
Das allgegenwärtige Ohr Amazons

Die kürzlich angekündigten Echo-Produkte bringen Amazons Sprachassistentin Alexa auf die Straße und damit Datenschutzprobleme in die U-Bahn oder in bisher Alexa-freie Wohnzimmer. Mehrere Landesdatenschutzbeauftragte haben Golem.de erklärt, ob und wie die Geräte eingesetzt werden dürfen.
Von Moritz Tremmel

  1. Digitaler Assistent Amazon bringt neue Funktionen für Alexa
  2. Echo Frames und Echo Loop Amazon zeigt eine Brille und einen Ring mit Alexa
  3. Alexa Answers Nutzer smarter Lautsprecher sollen Alexa Wissen beibringen

Mädchen und IT: Fehler im System
Mädchen und IT
Fehler im System

Bis zu einem gewissen Alter sind Jungen und Mädchen gleichermaßen an Technik interessiert. Wenn es dann aber um die Berufswahl geht, entscheiden sich immer noch viel mehr junge Männer als Frauen für die IT. Ein wichtiger Grund dafür ist in der Schule zu suchen.
Von Valerie Lux

  1. IT an Schulen Intelligenter Stift zeichnet Handschrift von Schülern auf
  2. 5G Milliardenlücke beim Digitalpakt Schule droht
  3. Medienkompetenz Was, Ihr Kind kann nicht programmieren?

    •  /