SSH-Client Putty: Fast vergessene Sicherheitslücke geschlossen
Der Schöpfer von Putty entschuldigt sich dafür, eine Sicherheitslücke erst nach eineinhalb Jahren vollständig geschlossen zu haben und ergänzt die neue Version um weitere Bugfixes und zwei neue Funktionen.
Nach rund eineinhalb Jahren behebt Putty-Entwickler Simon Tatham in Version 0.64 seines SSH-Clients eine Sicherheitslücke, von der er geglaubt hatte, sie bereits im Vorgänger beseitigt zu haben. Der Fehler bewirkt bei allen früheren Fassungen, dass die Anwendung den privaten Schlüssel im Arbeitsspeicher vorhält. So lässt sich der Key etwa in einer Auslagerungsdatei oder einem Speicher-Dump ablegen und dort auslesen. Version 0.63 aus dem Jahr 2013 sollte dieses Fehlverhalten korrigieren, jedoch übersahen der Entwickler und sein kleines Team laut eigener Aussage dabei einen weiteren Ort, an dem das Programm den Schlüssel ebenfalls ablegte. Dafür entschuldigt sich Tatham nun.
Außerdem rüstet Putty 0.64 einen Range-Check beim Diffie-Hellmann-Schlüsseltausch nach, den RFC 4253 für SSH-Verbindungen generell vorschreibt. Die aktuelle Fassung des Programms prüft jetzt, ob der vom Server übermittelte Wert beim Schlüsseltausch im Bereich [1,p-1] liegt.
Mehr Funktionen, weniger Fehler
Im weiteren ergänzt Entwickler Simon Tatham SSH-2 Connection-Sharing sowie die Option, die von einem Host erwarteten Schlüssel im Voraus einzutragen (über die Benutzeroberfläche oder per Kommandozeile). Beim Connection-Sharing verbindet sich zunächst eine einzelne Putty-Instanz mit einem Host per SSH. Diese bezeichnet der Entwickler als "Upstream". Weitere Putty-Instanzen können sich mit dieser ersten Instanz verbinden und simultan mit dem Host über eine SSH-Verbindung kommunizieren.
Zu guter Letzt merzt Putty 0.64 einige kleine Fehler aus. So soll die neue Version IPv6-Adressen in eckigen Klammern und mit enthaltenen Doppelpunkten korrekt verarbeiten, Host-Key-Meldungen nicht mehr unnötig oft wiederholen und auch Text im Fettdruck fehlerfrei anzeigen. (fkn)
