Доступен (https://lists.tartarus.org/pipermail/putty-announce/2019/000...) новый выпуск SSH-клиента PuTTY 0.71 (https://www.chiark.greenend.org.uk/~sgtatham/putty/latest.html), в котором устранены четыре уязвимости, выявленные участниками инициативы FOSSA (https://www.opennet.me/opennews/art.shtml?num=49912) (Free and Open Source Software Audit), выплачивающей вознаграждение за обнаружение уязвимостей в ключевых открытых проектах, применяемых в госучреждениях Евросоюза. Две уязвимости позволяют вызвать переполнение буфера и потенциально выполнить код при подключении к серверу, подконтрольному злоумышленнику.
- Первая уязвимость затрагивает протокол обмена ключами RSA и проявляется на стадии до верификации ключа хоста, т.е. система может быть атакована через проведение MITM-атаки без непосредственной компрометации сервера.
- Вторая проблема проявляется после установки соединения и инициируется через создание сервером слишком большого числа перенаправлений портов.
- Третья уязвимость позволяет вызвать отказ в обслуживании (крах PuTTY или потребление значительных ресурсов памяти и CPU) при запуске на сервере в рамках установленного сеанса приложений, выводящих определённые последовательности в терминал.
- Четвёртая уязвимость специфична для Windows и проявляется при размещении chm-файла атакующего в каталоге, в котором запускается PuTTY.В новом выпуске PuTTY также предпринято несколько мер по повышению безопасности:
- Код, связанный с криптографией, переписан для защиты от атак по сторонним каналам;
- Для блокирования подставных фиктивных запросов паролей визуально разделены запросы аутентификации PuTTY и вывод в терминале сообщений сервера;
- Реализована чистка управляющих символов при копировании данных через буфер обмена, вывода в терминал и обработке имён файлов.Из не связанных с безопасностью изменений можно отметить:
- Добавлена поддержка запуска интерфейса PuTTY с использованием GTK поверх протокола Wayland;
- Улучшена работа на экранах high-DPI;
- Добавлены реализации AES, SHA-256 и
SHA-1, использующие предоставляемые процессорами ARM и X86 инструкции для аппаратного ускорения криптографических операций.
- Добавлена поддержка полноцветного вывода (True Color) в терминалах с использованием управляющих последовательностей SGR 2.
- Приглашения аутентификации теперь могут содержать символы, не ограниченные колировкой US-ASCII.
- Добавлена поддержка аутентификации в Kerberos через GSSAPI.
- Улучшена работа с буфером обмена, в том числе появилась опция для и автоматического помещения текста в буфер обмена сразу после его выделения и возможность работы с несколькими буферами обмена.
- Добавлены новые горячие клавиши Ctrl+Shift+PgUp и Ctrl+Shift+PgDn для перехода к верхней и нижней частям истории прокрутки.
Также состоялся новый выпуск библиотеки libssh2 1.8.1 (https://www.libssh2.org/), предлагающей реализацию протокола SSH2 для интеграции функций SSH-клиента в произвольные приложения, в котором устранено 9 уязвимостей (https://seclists.org/oss-sec/2019/q1/184). Четыре проблемы позволяют организовать запись за пределы выделенного буфера и потенциально выполнить код злоумышленника в контексте клиентского приложения при обработке специально оформленных данных, поступающих при подключении к серверу, подконтрольному атакующему.
URL: https://lists.tartarus.org/pipermail/putty-announce/2019/000...
Новость: https://www.opennet.me/opennews/art.shtml?num=50365
Долго они! О дырах писали 2 месяца назад (https://www.opennet.me/opennews/art.shtml?num=49953), и два месяца ни багфикс-релизов, ничего не было...
Как минимум putty 0.70 ещё и не собирался gcc8.
Прикольно, переписали криптостек чтобы защититься от гипотетических утечек следов работы через кэш, а получили знаковую дыру, позволяющую сниффить и менять трафик.
дык, что вас удивляет - оно всегда так. Улучшайки они такие улучшайки... особенно в крипто, с которым у putty традиционно всегда было плохо.справедливости ради - dss auth в современных sshd уже и включить-то без танцев с бубном не получится, скоро, небось, совсем доломают.
В нём можно настройки не в реестре хранить?
Вроде бы сборка от PortableApps так делает.
> PuttyНо сам BSD-то вне опасности? Под ударом только Windows-системы BSD-пользователей?
>> Putty
> Но сам BSD-то вне опасности? Под ударом только Windows-системы BSD-пользователей?
pkg search putty
gputty-0.9.10 Frontend to the SSH client, using the Gtk+ toolkit
putty-0.71 Secure shell and telnet client
putty-gtk2-0.71 Secure shell and telnet client
putty-nogtk-0.71 Secure shell and telnet client
Можешь спать спокойно! Если конечно не убунтуйщик:
https://repology.org/project/putty/versions
Ubuntu 18.10
cosmic/universe putty 0.70 universe/net
Ubuntu 19.04
disco/universe putty 0.70 universe/net
хотя да, оно им не надо - у них есть WSL.
Обновили единственный используемый пользователями *BSD DE, так что надо радоваться за пользователей *BSD, у них праздник.
Не надо уж _ТАК_ завидовать 8-)
> Добавлена поддержка аутентификации в Kerberos через GSSAPI.Нет же, добавлена поддежрка GSSAPI Key Exchange, аутентификацию он умел давно.
Поддержку GSSAPI Kex заметят только те, кто использует делегирование, так как теперь при обновлении локальных тикетов, они будут обновляться в подключенных сессиях.
> автоматического помещения текста в буфер обмена сразу после его выделенияСтранно, сколько пользуюсь putty, но там всегда была эта фича.
По крайне мере, в версиях 0.6x-0.7x