PuTTY SSH İstemcisi Anahtar Kurtarma Saldırısına Karşı Savunmasız Bulundu
Açıklama: 0.81'den önceki 0.68 ila 0.80 arası PuTTY sürümleri, ECDSA tek seferlik oluşturma işlemindeki bir güvenlik açığından etkilenir ve bu, kullanıcının NIST P-521 gizli anahtarının yalnızca yaklaşık 60 imzayla kurtarılmasına yol açabilir. Bu güvenlik açığı, bir saldırganın PuTTY veya Pageant tarafından imzalanan mesajlara erişebildiği senaryolarda kritik hale gelir. İmzalı mesajların SSH tabanlı taahhüt imzalamayla genel Git hizmetlerinde saklandığı ve imzaların Pageant tarafından aracı yönlendirme yoluyla yapıldığı durumlarda, saldırganlar, savunmasız PuTTY sürümlerini daha fazla kullanmadan bile özel anahtarları ele geçirmek için yeterli bilgiye sahip olabilir.
Saldırı Senaryoları:
Tedarik Zinciri Saldırıları: Bir kurbanın özel anahtarını ele geçiren saldırganlar, Git depolarında tutulan yazılıma müdahale ederek tedarik zincirindeki güvenlik açıklarından yararlanabilir.
Hileli SSH Sunucuları: Bir kurban, hileli varlıklar tarafından işletilen güvenilmeyen sunuculara SSH bağlantıları için aynı özel anahtarı kullanırsa, bu operatörler kurbanın özel anahtarını elde edebilir ve kurbanın bağlandığı diğer hizmetlere yetkisiz erişim sağlayabilir. Buna Git hizmetlerine yönelik potansiyel tedarik zinciri saldırıları da dahildir.
Etkilenen Yazılım:
PuTTY:0.68'den 0.80'e kadar olan sürümler (0.81'den önce)
FileZilla: 3.67.0 sürümünden önce
WinSCP: 6.3.3 sürümünden önce
TortoiseGit: 2.15.0.1 sürümünden önce
TortoiseSVN:1.14.6 sürümü aracılığıyla
Etki: Güvenlik açığı, etkilenen yazılımın kullanıcıları için önemli bir risk oluşturur ve potansiyel olarak özel anahtarların ele geçirilmesine ve ardından hassas sistem ve hizmetlere yetkisiz erişime yol açabilir. Tedarik zinciri saldırıları, güvenliği ihlal edilmiş yazılımın geniş bir kullanıcı tabanına dağıtılmasına ve daha fazla güvenlik ihlaline ve tehlikeye yol açmasına neden olabileceğinden özellikle endişe vericidir.
Mitigation:
Update Software: Kullanıcılar, güvenlik açığını düzeltmek için PuTTY'nin ve ilgili yazılımın en son sürümlerine güncelleme yapmalıdır.
Key Management: Kullanıcılar, özellikle güvenliği ihlal edilmiş ortamlara maruz kaldıklarından şüpheleniyorlarsa, SSH anahtarlarını düzenli olarak değiştirmeyi ve yönetmeyi düşünmelidir.
Avoid Rogue Servers: Güvenilmeyen SSH sunucularına, özellikle de hassas anahtar çiftlerine bağlanırken dikkatli olun.
References:
CVE-2024-31497
Bu güvenlik açığı, sağlam anahtar yönetimi uygulamalarının öneminin altını çiziyor ve yazılım geliştirme ve dağıtımında tedarik zinciri saldırılarıyla ilişkili potansiyel riskleri vurguluyor. Kullanıcılar ve yöneticiler, bu riskleri etkili bir şekilde azaltmak için yama uygulama ve proaktif güvenlik önlemlerine öncelik vermelidir.