SSH-Client PuTTY 0.63 stopft Sicherheitslöcher
Zusammenfassung
PuTTY 0.63 schloss im August 2013 vier als kritisch eingestufte Lücken in dem unter Windows verbreiteten SSH-Client. Betroffen waren die Modmul-Funktion, die Behandlung von Public-Key-Signaturen, Pufferüberläufe beim Prüfen von DSA-Signaturen und das Löschen von Session-Schlüsseln und Passphrasen aus dem Speicher. Da PuTTY seit 2011 nicht aktualisiert worden war und keine Update-Funktion hat, mussten Nutzer selbst handeln.
Ideen
- Fehler in der Kryptoarithmetik können Signaturen und Schlüssel gefährden.
- Geheimnisse müssen nach Gebrauch zuverlässig aus dem Speicher gelöscht werden.
- Software ohne Auto-Update bleibt oft jahrelang auf alten Versionen.
Einsichten
- Fehlende Update-Mechanismen verlagern die Sicherheitsverantwortung vollständig auf Anwender.
- Auch kleine, bewährte Werkzeuge brauchen regelmäßige Sicherheitspflege.
Fakten
- Die vorherige PuTTY-Version stammte aus dem Jahr 2011.
- Entwickler Simon Tatham empfahl ein sofortiges Update.
Referenzen
Kritik
- Die Meldung sagt nicht, ob die Lücken schon vor der Anmeldung am Server ausnutzbar waren.
Empfehlungen
- Verwalte Werkzeuge ohne Auto-Update über eine Softwareverteilung oder Paketverwaltung.
- Nutze unter Windows den integrierten OpenSSH-Client, wenn kein PuTTY-Funktionsumfang nötig ist.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.