Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
14/12/2011
Revelación de información sensible en PuTTY
Se ha publicado la versión 0.62 de PuTTY, uno de los clientes SSH más utilizados en la plataforma Windows. La actualización solventa un problema que permitiría obtener la contraseña utilizada en conexiones realizadas con servidores SSH2.
PuTTY es una implementación Open Source gratuita de los protocolos Telnet y SSH para plataformas Win32 y Unix.
El fallo se presenta cuando el cliente se conecta a servidores SSH2, ya que tras la autenticación no se borra la contraseña de acceso, permaneciendo en memoria cuando debería haber sido eliminada de ella. El fallo apareció al incluir la característica de los servidores SSH2 llamada "keyboard-interactive", que al añadirse a la aplicación no se tuvo en cuenta el borrado de toda la información sensible presente en memoria.
De esta forma, si algún proceso se hace con el control de PuTTY puede rastrear la memoria del proceso en busca de la clave utilizada para la conexión. El dato también puede quedar accesible si se produce un error con un volcado de memoria en un archivo.
Se ha confirmado que las versiones afectadas por esta vulnerabilidad van de la 0.59, a la 0.61 del cliente SSH. A pesar de todos los esfuerzos puestos a la hora de manejar los datos sensibles de la aplicación, desde la misma página del aviso, se advierte que no es posible una seguridad completa frente a estos ataques. Ya que en algún momento siempre será necesaria la presencia de información sensible en memoria, que puede quedar accesible por algún proceso malicioso. Desde la página oficial de PuTTY se recomienda actualizar a la última versión (actualmente 0.62).
http://www.chiark.greenend.org.uk/~sgtatham/putty/download.html
Más información:
PuTTY vulnerability password-not-wiped
http://www.chiark.greenend.org.uk/~sgtatham/putty/wishlist/password-not-wiped.html