Kritiek lek in PuTTY ontdekt

Er is een ernstig beveiligingsprobleem ontdekt in de veelgebruikte ssh-client PuTTY, dat aanvallers in staat stelt om specifieke private keys te stelen, met name 521-bit ECDSA private keys. Dit beveiligingslek treft PuTTY versies 0.68 tot en met 0.80. Inmiddels is er een nieuwe versienummer 0.81 uitgekomen die dit probleem verhelpt.

Het lek, aangeduid als CVE-2024-31497, bevindt zich in de code die ECDSA (Elliptic Curve Digital Signature Algorithm) private keys gebruikt voor het genereren van handtekeningen. Een aanvaller die een aantal ondertekende berichten en de bijbehorende public key in handen heeft, kan hiermee voldoende informatie verkrijgen om de betreffende private key te achterhalen. Dit stelt de aanvaller in staat om valse handtekeningen te genereren alsof ze afkomstig zijn van de legitieme gebruiker, waardoor ze toegang kunnen krijgen tot elke server waarvoor de key wordt gebruikt.

Gebruikers die dergelijke keys gebruiken, wordt dringend geadviseerd om ze onmiddellijk in te trekken, de oude public key uit alle OpenSSH authorized_keys-bestanden te verwijderen, en het equivalent ervan op andere ssh-servers bij te werken. Dit voorkomt dat handtekeningen gegenereerd met de gecompromitteerde key worden geaccepteerd als legitiem.

Bron: Security.nl

Meer nieuws

17/04/2025 Nederlandse domein van Google verwijst straks naar Google.com
25/03/2025 Belangrijk lek in Next.JS kan authenticatie omzeilen
13/02/2025 Google dicht privacylek in YouTube
12/02/2025 Storing bij Cloudflare kwam door uitvoeren van abusemelding
11/02/2025 Kabinet wil boetes hostingproviders voor niet verwijderen content openbaren
05/01/2025 Ontwikkelaar maakt op DOOM gebaseerde captcha
10/12/2024 Hackers stelen keys door JS-library van Solana-apps over te nemen
08/12/2024 Miljoenensubsidie voor programmeren in het basis- en middelbaar onderwijs
15/11/2024 Google's VirusTotal krijgt nieuw IP-adres
05/11/2024 SIDN mag nl-domeinen op verzoek meldpunt internetoplichting direct offline halen

Er zijn geen reacties op 'Kritiek lek in putty ontdekt'