В PuTTY нашли уязвимость, позволяющую восстановить закрытые ключи

В PuTTY нашли уязвимость, позволяющую восстановить закрытые ключи

В PuTTY нашли уязвимость, позволяющую восстановить закрытые ключи

Разработчики PuTTY, популярного SSH- и Telnet-клиента, уведомили пользователей о выявленной уязвимости, затрагивающей версии софта с 0.68 по 0.80. В случае эксплуатации эта брешь позволяет вытащить закрытые ключи NIST P-521 (ecdsa-sha2-nistp521).

Проблема в настоящее время отслеживается под идентификатором CVE-2024-31497. Девелоперы поблагодарили Фабиана Боймера и Маркуса Бринкманна из Рурского университета в Бохуме за сведения о дыре.

В официальном уведомлении команда PuTTY пишет:

«Уязвимость угрожает компрометацией закрытого ключа. Условный атакующий, в руках которого будут десятки подписанных сообщений и открытый ключ, сможет восстановить закрытый ключ и подделать подпись».

«Другими словами, злоумышленник сможет аутентифицироваться на любых серверах, которые использует жертва».

Тем не менее стоит учитывать, что атакующему придётся скомпрометировать сервер, ключ от которого он пытается утащить. Фабиан Боймер, например, в рассылке Open Source Software Security (oss-sec) уточняет, что брешь стала следствием генерации однократно используемых чисел ECDSA. Последние могут помочь восстановить закрытый ключ.

«Первые девять бит каждого однократно используемого числа равны нулю. Это позволяет восстановить закрытый ключ приблизительно по 60 подписям», — объясняет Боймер.

«Такие подписи злоумышленник может собрать с помощью вредоносного сервера (атаки вида “Человек посередине“ провести не получится — клиенты не передают подписи в открытом виде)».

Список затронутых уязвимостью продуктов приводим ниже. Обращаем внимание на доступность патчей, которые желательно установить как можно скорее.

  • FileZilla (3.24.1 - 3.66.5)
  • WinSCP (5.9.5 - 6.3.2)
  • TortoiseGit (2.4.0.2 - 2.15.0)
  • TortoiseSVN (1.10.0 - 1.14.6)
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Рынок отечественного ИТ вырос на 46% — почти 1 трлн прироста за год

Российский ИТ-рынок продолжает расти: по данным министра цифрового развития Максута Шадаева, в 2024 году объём продаж отечественных ИТ-решений и услуг составил 4,5 триллиона рублей. Это на 46% больше, чем в 2023 году.

Также выросло и число специалистов в отрасли. На конец 2024 года в ИТ-сфере работали 992 тысячи человек, что на 16% больше, чем годом ранее.

«Цифры достаточно хорошие. Рост почти на 50% — это для нас очень значимый результат. Значит, та механика, которую мы раскручиваем — спрос на отечественное ПО и оборудование — действительно работает», — прокомментировал Шадаев в Госдуме.

А доля ИТ-отрасли в ВВП за год поднялась на 0,3 п.п. и сейчас составляет 2,4%. То есть вклад ИТ в экономику страны заметно растёт — и, судя по темпам, эта тенденция сохранится.

Напомним, вчера мы сообщали о подписании меморандум о технологическом сотрудничестве между Positive Technologies и Группой Rubytech. Компании объединят усилия, чтобы помочь критически важным объектам перейти на отечественные ПАК в условиях импортозамещения.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru