Kritische Lücken in Putty behoben

Im Open-Source-SSH-Client Putty wurden mehrere schwere Fehler behoben. Die Sicherheitslücken erlauben unter anderem das Überschreiben von Speicher durch die Verbindung zu einem bösartigen Server. Diese Memory-Corruption-Lücke kann bereits beim RSA-Schlüsselaustausch ausgenutzt werden, noch bevor die Serveridentität bestätigt wurde. Angreifer können den Fehler nutzen, um Schadcode auf dem System einzuschleusen.

Gefunden wurden die Fehler im Rahmen des von der EU finanzierten Bug-Bounty-Programms Fossa. Im Update auf die neue Putty-Version 0.71 wurden die Sicherheitslücken gestopft. Aktiven Nutzern der Open-Source-Lösung wird daher empfohlen, zeitnah auf das neue Release zu aktualisieren.

Über das Update haben die Entwickler auch weitere Fehler behoben. So war unter Windows etwa ein Angriff mit manipulierten Help-Dateien möglich, die sich im selben Dateipfad wie Putty befinden. Außerdem wurde eine Lücke beseitigt, die unter Unix einen Speicherüberlauf beim Server-to-Client Forwarding auslöst.

Erst Anfang des Jahres hatte die EU die Ausweitung von Fossa bekanntgegeben. Zu den neu hinzugefügten Tools zählen neben Putty 14 weitere Open-Source-Programme. Darunter auch die populären Anwendungen Filezilla, Notepad++, VLC Media Player, Keepass und 7-Zip.

Mit Fossa will die EU die Qualität und Sicherheit von freien Lösungen fördern. Den Entdeckern der Fehler winken Belohnungen zwischen 3.000 und 25.000 Euro, je nach Schwere der Lücke. Gestartet wurde das Programm ursprünglich im Jahr 2014 mit dem Fund verschiedener Sicherheitslecks in OpenSSL. Seither hat die EU Fossa kontinuierlich ausgebaut.

Für die Abwicklung der honorierten Fehlersuche setzt die EU auf die beiden Bug-Bounty-Plattformen Hackerone und Intigrity von Deloitte.