【缝隙公告】PuTTY密钥复原缝隙（CVE-2024-31497）
颁布功夫 2024-04-17
一、缝隙概述
缝霞称 | PuTTY密钥复原缝隙 | ||
CVE ID | CVE-2024-31497 | ||
缝隙类型 | 信息泄露 | 发现功夫 | 2024-04-17 |
缝隙评分 | 暂无 | 缝隙等级 | 高危 |
攻击向量 | 网络 | 所需权限 | 无 |
利用难度 | 高 | 用户交互 | 无 |
PoC/EXP | 未公开 | 在野利用 | 未发现 |
PuTTY 是一种盛行的开源终端仿真器、串行节造台和网络文件传输利用法式，支持 SSH、Telnet、SCP和SFTP等和谈，可使用该软件通过SSH远程接见和治理服务器和其他网络设备。
2024年4月17日，GA黄金甲VSRC监测到PuTTY中存在一个密钥复原缝隙（CVE-2024-31497）。
PuTTY 版本0.68 - 0.80中使用NIST P521曲线的ECDSA私钥天生署名的代码中存在缝隙（当使用PuTTY或Pageant对SSH服务器进行身份验证时，它会凭据密钥天生署名），获得约60条署名新闻和公钥的威胁者可能复原用户的NIST P-521私钥，而后伪造署名，登录使用该密钥的任何服务器，导致信息泄露和未授权接见SSH服务器等。
二、影响领域
PuTTY版本 0.68 - 0.80
注：该缝隙除了影响 PuTTY 之表，以下（不愿定齐全）产品列表绑缚了受影响的 PuTTY 版本，因而也容易受到攻击：
FileZilla 3.24.1 - 3.66.5
WinSCP 5.9.5 - 6.3.2
TortoiseGit 2.4.0.2 - 2.15.0
TortoiseSVN 1.10.0 - 1.14.6
三、安全措施
3.1 升级版本
目前该缝隙已经建复，受影响用户可升级到以下版本：
PuTTY 0.81
FileZilla 3.67.0
WinSCP 6.3.3
TortoiseGit 2.15.0.1
建议 TortoiseSVN 用户在通过 SSH 接见 SVN 版本库时，配置 TortoiseSVN 使用最新 PuTTY 0.81 版本的 Plink，直到补丁可用。
下载链接：
https://www.chiark.greenend.org.uk/~sgtatham/putty/latest.html
3.2 一时措施
唯一受影响的密钥类型是521位ECDSA(ecdsa-sha2-nistp521)。也就是说，在Windows PuTTYgen中，在“Key fingerprint”框的开头出现一个带有ecdsa-sha2-nistp521的密钥，或者在加载到Windows Pageant时被描述为“NIST p521”，或在 SSH和谈或密钥文件中的ID开头为 ecdsa-sha2-nistp521。其他大幼的ECDSA和其他关键算法不受影响。
若是占有这种类型的密钥，建议当即撤销它：从所有 OpenSSH authorized_keys 文件和其他SSH服务器中的相应文件中删除旧的公钥，这样被粉碎的密钥的署名就没有任何价值了。而后天生一个新的密钥对来代替它。
3.3 通用建议
l 定期更新系统补丁，削减系统缝隙，提升服务器的安全性。
l 加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面。
l 使用企业级安全产品，提升企业的网络安全机能。
l 加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度。
l 启用强密码战术并设置为定期批改。
3.4 参考链接
https://www.chiark.greenend.org.uk/~sgtatham/putty/wishlist/vuln-p521-bias.html
https://seclists.org/oss-sec/2024/q2/122
https://www.openwall.com/lists/oss-security/2024/04/15/6
四、版本信息
版本 | 日期 | 备注 |
V1.0 | 2024-04-17 | 初次颁布 |
五、附录
5.1 GA黄金甲简介
GA黄金甲成立于1996年，是由留美博士严望佳女士创建的、占有齐全自主知识产权的信息安全高科技企业。是国内最具实力的信息安全产品、安全服务解决规划的领航企业之一。
公司总部位于北京市中关村软件园GA黄金甲大厦，公司员工6000余人，研发团队1200余人, 技术服务团队1300余人。在全国各省、视注自治区设立分支机构六十多个，占有覆盖全国的销售系统、渠路系统和技术支持系统。公司于2010年6月23日在深圳中幼板挂牌上市。（股票代码：002439）
多年来，GA黄金甲致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，援手客户全面提升其IT基础设施的安全性和出产效力，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。
5.2 关于GA黄金甲
GA黄金甲安全应急响应中心已颁布1000多个缝隙公告微风险预警，我们将持续跟踪全球最新的网络安全事务和缝隙，为企业的信息安全保驾护航。
关注我们：
京公网安备11010802024551号