Kritiek lek in PuTTY ontdekt

Er is een ernstig beveiligingsprobleem ontdekt in de veelgebruikte ssh-client PuTTY, dat aanvallers in staat stelt om specifieke private keys te stelen, met name 521-bit ECDSA private keys. Dit beveiligingslek treft PuTTY versies 0.68 tot en met 0.80. Inmiddels is er een nieuwe versienummer 0.81 uitgekomen die dit probleem verhelpt.

Het lek, aangeduid als CVE-2024-31497, bevindt zich in de code die ECDSA (Elliptic Curve Digital Signature Algorithm) private keys gebruikt voor het genereren van handtekeningen. Een aanvaller die een aantal ondertekende berichten en de bijbehorende public key in handen heeft, kan hiermee voldoende informatie verkrijgen om de betreffende private key te achterhalen. Dit stelt de aanvaller in staat om valse handtekeningen te genereren alsof ze afkomstig zijn van de legitieme gebruiker, waardoor ze toegang kunnen krijgen tot elke server waarvoor de key wordt gebruikt.

Gebruikers die dergelijke keys gebruiken, wordt dringend geadviseerd om ze onmiddellijk in te trekken, de oude public key uit alle OpenSSH authorized_keys-bestanden te verwijderen, en het equivalent ervan op andere ssh-servers bij te werken. Dit voorkomt dat handtekeningen gegenereerd met de gecompromitteerde key worden geaccepteerd als legitiem.

Bron: Security.nl

Meer nieuws

10/12/2024 Hackers stelen keys door JS-library van Solana-apps over te nemen
08/12/2024 Miljoenensubsidie voor programmeren in het basis- en middelbaar onderwijs
15/11/2024 Google's VirusTotal krijgt nieuw IP-adres
05/11/2024 SIDN mag nl-domeinen op verzoek meldpunt internetoplichting direct offline halen
04/11/2024 Inlogdienst Okta accepteerde elk wachtwoord in bepaalde situaties
01/09/2024 WooCommerce plugin voor wenslijsten vatbaar voor misbruik
01/09/2024 Google Chrome-gebruikers via download getroffen door door rootkit-malware
05/07/2024 Gronings taxibedrijf wint 'Lelijkste website van het jaar'
04/07/2024 Veelgebruikte javascript-bibliotheek met malafide code onbereikbaar gemaakt
13/06/2024 PHP verhelpt kritiek beveiligingslek in Windows-versie

Er zijn geen reacties op 'Kritiek lek in putty ontdekt'