Уязвимость восстановления секретного ключа NIST P-521 через смещение генерации nonce в ECDSA в PuTTY
Описание
В версиях PuTTY с 0.68 по 0.81 (не включительно) обнаружена уязвимость, связанная со смещенной генерацией nonce в алгоритме ECDSA. Эта уязвимость позволяет злоумышленнику восстановить секретный ключ пользователя NIST P-521 путем быстрой атаки, требующей примерно 60 подписей.
Проблема особенно актуальна в сценарии, где злоумышленник может читать сообщения, подписанные PuTTY или Pageant. Необходимый набор подписанных сообщений может быть доступен публично, например, если они хранятся на публичном Git-сервисе, поддерживающем использование SSH для подписи коммитов, а подписи были созданы Pageant через механизм пересылки агента. Другими словами, злоумышленник может уже иметь достаточно информации о подписях для компрометации закрытого ключа жертвы, даже если уязвимые версии PuTTY больше не используются.
После компрометации ключа злоумышленник может проводить атаки на цепочку поставок программного обеспечения, хранимого в Git.
Второй, независимый сценарий заключается в том, что злоумышленник является оператором SSH-сервера, к которому жертва аутентифицируется (например, для удаленного входа или копирования файлов).
Затронутые версии ПО
- PuTTY от 0.68 до 0.81 (не включительно)
Тип уязвимости
Компрометация закрытого ключа (восстановление секретного ключа через смещенную генерацию nonce)
Ссылки
- Mailing ListThird Party Advisory
- Issue Tracking
- Issue Tracking
- Product
- Release Notes
- Mailing ListPatch
- Third Party Advisory
- Third Party Advisory
- Mailing ListThird Party Advisory
- Mailing ListThird Party Advisory
- Mailing ListThird Party Advisory
- Mailing ListThird Party Advisory
- Mailing ListThird Party Advisory
- Issue Tracking
- Third Party Advisory
- Press/Media Coverage
- Product
- Third Party Advisory
- Press/Media Coverage
Уязвимые конфигурации
Одно из
EPSS
5.9 Medium
CVSS3
Дефекты
Связанные уязвимости
In PuTTY 0.68 through 0.80 before 0.81, biased ECDSA nonce generation allows an attacker to recover a user's NIST P-521 secret key via a quick attack in approximately 60 signatures. This is especially important in a scenario where an adversary is able to read messages signed by PuTTY or Pageant. The required set of signed messages may be publicly readable because they are stored in a public Git service that supports use of SSH for commit signing, and the signatures were made by Pageant through an agent-forwarding mechanism. In other words, an adversary may already have enough signature information to compromise a victim's private key, even if there is no further use of vulnerable PuTTY versions. After a key compromise, an adversary may be able to conduct supply-chain attacks on software maintained in Git. A second, independent scenario is that the adversary is an operator of an SSH server to which the victim authenticates (for remote login or file copy), even though this server is n...
In PuTTY 0.68 through 0.80 before 0.81, biased ECDSA nonce generation ...
In PuTTY 0.68 through 0.80 before 0.81, biased ECDSA nonce generation allows an attacker to recover a user's NIST P-521 secret key via a quick attack in approximately 60 signatures. This is especially important in a scenario where an adversary is able to read messages signed by PuTTY or Pageant. One scenario is that the adversary is an operator of an SSH server to which the victim authenticates (for remote login or file copy), even though this server is not fully trusted by the victim, and the victim uses the same private key for SSH connections to other services operated by other entities. Here, the rogue server operator (who would otherwise have no way to determine the victim's private key) can derive the victim's private key, and then use it for unauthorized access to those other services. Because SSH is sometimes used to authenticate to Git services, it is possible that this vulnerability could be leveraged for supply-chain attacks on software maintained in Git. It is also conce...
Уязвимость компонента генерации подписи из закрытых ключей ECDSA клиентского программного обеспечения для различных протоколов удалённого доступа Putty, позволяющая нарушителю выполнить перехват сеанса
EPSS
5.9 Medium
CVSS3