Kritiek lek in PuTTY ontdekt

Er is een ernstig beveiligingsprobleem ontdekt in de veelgebruikte ssh-client PuTTY, dat aanvallers in staat stelt om specifieke private keys te stelen, met name 521-bit ECDSA private keys. Dit beveiligingslek treft PuTTY versies 0.68 tot en met 0.80. Inmiddels is er een nieuwe versienummer 0.81 uitgekomen die dit probleem verhelpt.

Het lek, aangeduid als CVE-2024-31497, bevindt zich in de code die ECDSA (Elliptic Curve Digital Signature Algorithm) private keys gebruikt voor het genereren van handtekeningen. Een aanvaller die een aantal ondertekende berichten en de bijbehorende public key in handen heeft, kan hiermee voldoende informatie verkrijgen om de betreffende private key te achterhalen. Dit stelt de aanvaller in staat om valse handtekeningen te genereren alsof ze afkomstig zijn van de legitieme gebruiker, waardoor ze toegang kunnen krijgen tot elke server waarvoor de key wordt gebruikt.

Gebruikers die dergelijke keys gebruiken, wordt dringend geadviseerd om ze onmiddellijk in te trekken, de oude public key uit alle OpenSSH authorized_keys-bestanden te verwijderen, en het equivalent ervan op andere ssh-servers bij te werken. Dit voorkomt dat handtekeningen gegenereerd met de gecompromitteerde key worden geaccepteerd als legitiem.

Bron: Security.nl

Meer nieuws

05/04/2024 Backdoor in XZ maakt remote code execution mogelijk
28/02/2024 LockBit website door politie gekraakt via mogelijk lek in PHP
20/02/2024 Internetknooppunt AMS-IX bereikt nieuwe historische piek
23/01/2024 Sloveense universiteit verbiedt SQL-gerelateerde woorden in wachtwoorden
02/01/2024 Onderzoekers ontdekken mogelijkheid om Google-accounts te kapen
01/01/2024 De beste wensen voor 2024!
29/12/2023 Let's Encrypt heeft al 377 miljoen certificaten verstrekt
17/12/2023 Chrome krijgt ingebouwde tool tegen 'tracking cookies'
30/11/2023 Androidversie van Firefox krijgt beschikking voor meer extenties
29/11/2023 Lek in ownCloud lekt adminwachtwoord uit

Er zijn geen reacties op 'Kritiek lek in putty ontdekt'