Mise à jour de sécurité Putty

Toutes les mises à jour de sécurités publiées et les failles annoncées
Reprise notamment des publications du CERT-FR (ANSSI)
Répondre
Avatar du membre
charles
Administrateur du site
Messages : 4704
Enregistré le : 06 avr. 2015 09:02
Etablissement : GHT 15 - CH Saint-Flour
Fonction : RSSI
DPO / DPD : Oui
Site Internet de l'établissement : https://www.ch-stflour.fr
Site Internet personnel ou blog : https://www.forum-sih.fr
Contact :

Mise à jour de sécurité Putty

Message par charles » 15 déc. 2015 12:53

Une vulnérabilité dans Putty a été corrigée dans une version publiée le 07/11/2015 :

Avis du CERT-FR : http://www.cert.ssi.gouv.fr/site/CERTFR ... index.html
Bulletin de l'éditeur : http://www.chiark.greenend.org.uk/~sgta ... rflow.html
Page de téléchargement : http://www.chiark.greenend.org.uk/~sgta ... nload.html

Avatar du membre
charles
Administrateur du site
Messages : 4704
Enregistré le : 06 avr. 2015 09:02
Etablissement : GHT 15 - CH Saint-Flour
Fonction : RSSI
DPO / DPD : Oui
Site Internet de l'établissement : https://www.ch-stflour.fr
Site Internet personnel ou blog : https://www.forum-sih.fr
Contact :

Re: Mise à jour de sécurité Putty

Message par charles » 22 févr. 2017 20:10

Une mise à jour de sécurité pour Putty a été publiée le 21/02/2017 :

http://www.chiark.greenend.org.uk/~sgta ... anges.html

Avatar du membre
charles
Administrateur du site
Messages : 4704
Enregistré le : 06 avr. 2015 09:02
Etablissement : GHT 15 - CH Saint-Flour
Fonction : RSSI
DPO / DPD : Oui
Site Internet de l'établissement : https://www.ch-stflour.fr
Site Internet personnel ou blog : https://www.forum-sih.fr
Contact :

Re: Mise à jour de sécurité Putty

Message par charles » 01 mai 2017 11:45

Une mise à jour de sécurité pour Putty a été publiée le 29/04/2017 :

http://www.chiark.greenend.org.uk/~sgta ... anges.html

Le version actuelle est donc la version 0.69.

Avatar du membre
charles
Administrateur du site
Messages : 4704
Enregistré le : 06 avr. 2015 09:02
Etablissement : GHT 15 - CH Saint-Flour
Fonction : RSSI
DPO / DPD : Oui
Site Internet de l'établissement : https://www.ch-stflour.fr
Site Internet personnel ou blog : https://www.forum-sih.fr
Contact :

Re: Mise à jour de sécurité Putty

Message par charles » 10 juil. 2017 13:37

Une mise à jour de sécurité pour Putty a été publiée le 08/07/2017 :

https://www.chiark.greenend.org.uk/~sgt ... anges.html

La version actuelle est donc la version 0.70.

Avatar du membre
charles
Administrateur du site
Messages : 4704
Enregistré le : 06 avr. 2015 09:02
Etablissement : GHT 15 - CH Saint-Flour
Fonction : RSSI
DPO / DPD : Oui
Site Internet de l'établissement : https://www.ch-stflour.fr
Site Internet personnel ou blog : https://www.forum-sih.fr
Contact :

Re: Mise à jour de sécurité Putty

Message par charles » 17 mars 2019 09:12

Simon Tatham, le développeur à l'origine de Putty a annoncé le 16/03/2019 la disponibilité d'une nouvelle version de Putty, le version 0.71 a adopter le plus rapidement possible car elle apporte des correctifs pour plusieurs vulnérabilités connues depuis plusieurs mois.
Vulnerabilities fixed in this release include:

- A malicious server could trigger a buffer overrun by abusing the
RSA key exchange protocol. This would happen before host key
verification, so even if you trust the server you *intended* to
connect to, you would still be at risk.

- A malicious server could trigger a buffer overflow in Unix PuTTY by
opening a very large number of port forwardings.

- A malicious program able to write to the server-side terminal could
deny service to the rest of the SSH session, by making PuTTY's
terminal emulation code fail an assertion in at least two different
ways, or by making it consume large amounts of memory and CPU.

- Windows builds of PuTTY were vulnerable to hijacking if an attacker
could arrange to drop a malicious Windows help file (.chm) in the
same directory. Running PuTTY directly out of your browser's
download directory, for example, might make this possible.

Other security-related improvements:

- The cryptography code has been substantially rewritten to eliminate
cache and timing side channels.

- PuTTY has a new system for making legitimate authentication prompts
distinguishable from fakes sent by the server (e.g. to try to trick
you into sending information like private key passphrases over the
wire). This involves displaying 'trust sigils' (in the form of the
PuTTY icon) on lines of the terminal window that contain data
originated by PuTTY itself, and a precautionary prompt before
starting the main login session when using Plink interactively.
(That prompt can be turned off if it's an inconvenience.)

- By default, PuTTY now sanitises control characters out of data
pasted into the terminal data; output sent to standard error by the
server in Plink, PSCP and PSFTP; and filenames transmitted from the
server by PSCP and PSFTP.
Plus d'infos : https://www.chiark.greenend.org.uk/~sgt ... anges.html
Pour télécharger la dernière version : https://www.chiark.greenend.org.uk/~sgt ... /0.71.html

Avatar du membre
charles
Administrateur du site
Messages : 4704
Enregistré le : 06 avr. 2015 09:02
Etablissement : GHT 15 - CH Saint-Flour
Fonction : RSSI
DPO / DPD : Oui
Site Internet de l'établissement : https://www.ch-stflour.fr
Site Internet personnel ou blog : https://www.forum-sih.fr
Contact :

Re: Mise à jour de sécurité Putty

Message par charles » 20 juil. 2019 11:00

La release 0.72 de Putty a été publiée le 20/07/2019. Elle corrige plusieurs vulnérabilités :
Vulnerabilities fixed in this release include:

- A malicious SSH-1 server could trigger a buffer overrun by sending
extremely short RSA keys, or certain bad packet length fields.
Either of these could happen before host key verification, so even
if you trust the server you *intended* to connect to, you would
still be at risk.

(However, the SSH-1 protocol is obsolete, and recent versions of
PuTTY do not try it by default, so you are only at risk if you work
with old servers and have explicitly configured SSH-1.)

- If a malicious process found a way to impersonate Pageant, then it
could cause an integer overflow in any of the SSH client tools
(PuTTY, Plink, PSCP, PSFTP) which accessed the malicious Pageant.

Other security-related bug fixes include:

- The 'trust sigil' system introduced in PuTTY 0.71 to protect
against server spoofing attacks had multiple bugs. Trust sigils
were not turned off after login in the SSH-1 and Rlogin protocols,
and not turned back on if you used the Restart Session command.
Both are now fixed.

Other bug fixes include:

- Kerberos key exchange could crash at the start of an SSH session
in the presence of a third-party Windows provider such as
MIT Kerberos for Windows, and could also crash if the server sent
an ordinary SSH host key as part of the Kerberos exchange.

- In SSH-2 keyboard-interactive authentication, one of the message
fields sent by the server (namely the 'instructions' message) was
accidentally never displayed to the user.

- When using SSH-2 connection sharing, pasting text into a downstream
PuTTY window that included a line longer than 16Kb could cause that
window's connection to be closed.

- When using PSCP in old-fashioned SCP mode, downloading files
specified by a wildcard could cause a newline character to be
appended to the downloaded file names. Also, using the -p option to
preserve file times failed with a spurious error message.

- On Windows, the numeric keypad key that should generate '.' or ','
depending on keyboard layout was always generating '.'.

- RSA keys generated by PuTTYgen could be 1 bit shorter than
requested. (Harmless, but a regression in 0.71 compared to 0.70.)
Pour télécharger la dernière version : https://www.chiark.greenend.org.uk/~sgtatham/putty/
Pour plus d'informations : https://www.chiark.greenend.org.uk/~sgt ... anges.html

Avatar du membre
charles
Administrateur du site
Messages : 4704
Enregistré le : 06 avr. 2015 09:02
Etablissement : GHT 15 - CH Saint-Flour
Fonction : RSSI
DPO / DPD : Oui
Site Internet de l'établissement : https://www.ch-stflour.fr
Site Internet personnel ou blog : https://www.forum-sih.fr
Contact :

Re: Mise à jour de sécurité Putty

Message par charles » 30 sept. 2019 23:45

Plusieurs vulnérabilités ont été corrigées le 29/09/2019 dans la version 0.73 de Putty :

https://www.chiark.greenend.org.uk/~sgt ... anges.html

Avatar du membre
charles
Administrateur du site
Messages : 4704
Enregistré le : 06 avr. 2015 09:02
Etablissement : GHT 15 - CH Saint-Flour
Fonction : RSSI
DPO / DPD : Oui
Site Internet de l'établissement : https://www.ch-stflour.fr
Site Internet personnel ou blog : https://www.forum-sih.fr
Contact :

Re: Mise à jour de sécurité Putty

Message par charles » 30 juin 2020 11:45

La version 0.74 de Putty publiée le 27/06/2020 résout deux problèmes de sécurité :
This release fixes the following security issues:

- In some situations an SSH server could cause PuTTY to access freed
mdmory by pretending to accept an SSH key and then refusing the
actual signature. It can only happen if you're using an SSH agent.

- New configuration option to disable PuTTY's default policy of
changing its host key algorithm preferences to prefer keys it
already knows. (There is a theoretical information leak in this
policy.)
https://www.chiark.greenend.org.uk/~sgtatham/putty/
https://www.chiark.greenend.org.uk/~sgt ... anges.html

Répondre

Retourner vers « Alertes de sécurité - Mises à jour et failles »