Se ha publicado la versión 0.62 de PuTTY, uno de los clientes SSH
más utilizados en la plataforma Windows. La actualización solventa
un problema que permitiría obtener la contraseña utilizada en
conexiones realizadas con servidores SSH2.
PuTTY es una implementación Open Source gratuita de los protocolos
Telnet y SSH para plataformas Win32 y Unix.
El fallo se presenta cuando el cliente se conecta a servidores SSH2,
ya que tras la autenticación no se borra la contraseña de acceso,
permaneciendo en memoria cuando debería haber sido eliminada de ella.
El fallo apareció al incluir la característica de los servidores SSH2
llamada «keyboard-interactive», que al añadirse a la aplicación no se
tuvo en cuenta el borrado de toda la información sensible presente en
memoria.
De esta forma, si algún proceso se hace con el control de PuTTY puede
rastrear la memoria del proceso en busca de la clave utilizada para la
conexión. El dato también puede quedar accesible si se produce un error
con un volcado de memoria en un archivo.
Se ha confirmado que las versiones afectadas por esta vulnerabilidad van
de la 0.59, a la 0.61 del cliente SSH. A pesar de todos los esfuerzos
puestos a la hora de manejar los datos sensibles de la aplicación, desde
la misma página del aviso, se advierte que no es posible una seguridad
completa frente a estos ataques. Ya que en algún momento siempre será
necesaria la presencia de información sensible en memoria, que puede
quedar accesible por algún proceso malicioso. Desde la página oficial de
PuTTY se recomienda actualizar a la última versión (actualmente 0.62).
http://www.chiark.greenend.
PuTTY vulnerability password-not-wiped
http://www.chiark.greenend.
Via: HIspasec
