Описание
Уязвимость компонента генерации подписи из закрытых ключей ECDSA клиентского программного обеспечения для различных протоколов удалённого доступа Putty связана с возможностью восстановления секретного ключа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить перехват сеанса путём восстановления закрытого ключа
Вендор
ООО «Ред Софт»
Сообщество свободного программного обеспечения
Мартин Прикрыл
TortoiseGit
TortoiseSVN
Наименование ПО
РЕД ОС
PuTTY
FileZilla Client
WinSCP
TortoiseGit
TortoiseSVN
Версия ПО
7.3 (РЕД ОС)
от 0.68 до 0.81 (PuTTY)
до 3.67.0 (FileZilla Client)
от 5.9.5 до 6.3.2 включительно (WinSCP)
от 2.4.0.2 до 2.15.0.1 (TortoiseGit)
от 1.10.0 до 1.14.6 включительно (TortoiseSVN)
Тип ПО
Операционная система
Сетевое программное средство
Сетевое средство
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
ООО «Ред Софт» РЕД ОС 7.3
Уровень опасности уязвимости
Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 10)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- отзыв или удаление старых открытых ключей из файлов authorized_keys;
- ограничение использования 521-битного ECDSA ключа, остальные типы ключей не затронуты;
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа;
- использование средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания трафика, указывающего на попытки эксплуатации уязвимости.
Использование рекомендаций производителя:
Для Putty:
https://www.chiark.greenend.org.uk/~sgtatham/putty/wishlist/vuln-p521-bias.html
https://www.chiark.greenend.org.uk/~sgtatham/putty/changes.html
Для FileZilla:
https://filezilla-project.org/versions.php
Для WinSCP:
https://winscp.net/eng/docs/history
Для TortoiseGit:
https://tortoisegit.org/download/#hotfix
Для TortoiseSVN:
https://tortoisesvn.net/
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 93%
0.05726
Низкий
10 Critical
CVSS3
10 Critical
CVSS2
Связанные уязвимости
CVSS3: 10
altlinux
больше 2 лет назад
ALT-PU-2024-18140: package `filezilla` update to version 3.67.0-alt1
CVSS3: 10
altlinux
около 2 лет назад
ALT-PU-2024-14430: package `filezilla` update to version 3.53.0-alt1.p10.1
CVSS3: 10
altlinux
больше 2 лет назад
ALT-PU-2024-9848: package `putty` update to version 0.81-alt2
CVSS3: 10
altlinux
больше 2 лет назад
ALT-PU-2024-6830: package `putty` update to version 0.81-alt1
EPSS
Процентиль: 93%
0.05726
Низкий
10 Critical
CVSS3
10 Critical
CVSS2