miércoles, 14 de diciembre de 2011

Fallo de seguridad en PuTTY


Desde hispasec me llega la noticia de que se ha publicado la versión 0.62 de PuTTY, probablemente el cliente SSH más usado bajo Windows que soluciona un problema que permitiría (según el boletín oficial donde se ha informado de la vulnerabilidad): obtener la contraseña utilizada en conexiones realizadas con servidores SSH2, claves de sesión antiguas, contraseñas de claves públicas o la mitad privada de las claves públicas.

El fallo concretamente se produce cuando el cliente se conecta a servidores SSH2, pues tras la autenticación la información confidencial permanece en memoria, en lugar de borrarse de ella como debería, de tal forma que si algún proceso se hace con el control de PuTTY puede rastrear la memoria del proceso en busca, por ejemplo, de la clave que se ha usado para la conexión. Así mismo, la contraseña u otros datos sensibles también pueden quedar accesible en el caso de que se produzca un error con un volcado de memoria en un archivo.

Las versiones afectadas van de la 0.59 a la 0.61 de PuTTY.

Por tanto, desde este blog, se recomienda encarecidamente la actualización a la versión más reciente de PuTTY, que en estos momentos es la 0.62.

No hay comentarios:

Publicar un comentario