Kaum ein Webworker, der nicht den SSH-Client Putty in seinem Werkzeugkasten hat und auch regelmäßig nutzt – und sei es als Teil von Drittanwendungen wie zum Beispiel Filezilla oder WinSCP.
Das weit verbreitete SSH-Tool liegt jetzt in einer neuen Version zum Download vor. Die neue Version Putty 0.71 schließt mehrere Sicherheitslücken, die im Rahmen des EU-Bug-Bounty-Programms gefunden worden.
Neuer Zufallsgenerator
Einer der Fehler in der neuen Putty-Version 0.71 beseitigten Schwachstellen lag laut Changelog im Zufallsgenarator der Verschlüsselungseinheit. Wegen eines Pufferüberlaufs könnten zuvor ausgegebene Zufallszahlen erneut recycelt werden. In Version 0.71 wurde der komplette Zufallszahlengenerator durch einen neuen auf Basis von Schneier und Fergusons Fortuna-Design ersetzt, womit der betroffene Code vollständig ausgetauscht wurde.
Auch ein Man-In-The-Middle-Angriff beim RSA-Schlüsseltausch wird in der neuen Version des SSH-Clients verhindert – ebenso die Kompromittierung einer Putty-Installation durch bösartige Hifedateien im Putty-Stammverzeichnis, die allerdings bei mit dem Windows-msi-Installer installierten Versionen nicht möglich war.
Updates von Drittanwendungen mit Putty
Auch vom FTP-Client Filezilla gibt es mit der Version 3.41.2 schon ein Update, das auch dort diese Schwachstellen behebt. Für WinSCP gibt es leider noch keine Aktualisierung, allerdings wird auch dort schon an der Behebung der Fehler gearbeitet .
