PuTTY 0.84: Sicherheitsupdate behebt SSH-KEX-Abstürze und Telnet-Prompt-Manipulation

Sicherheitslage und Risiko

In solchen Fällen wird versehentlich dieselbe Speicherstruktur zweimal freigegeben, was zu einem Absturz führt. Diese Schwachstelle betrifft Versionen von 0.72 bis 0.83.

Sie kann bösartigen Server aus der Ferne ausgelöst werden, der absichtlich einen abgetrennten Schlüssel sendet. hnlich wie beim vorherigen Problem tritt diese Schwachstelle vor der Host-Key-Verifizierung auf, wodurch ein Man-in-the-Middle-Angriff ausgenutzt werden knnte.

Derzeit gibt es jedoch keine Belege dafür, dass der Fehler zur Ausführung beliebigen Codes missbraucht werden kann; seine Auswirkungen beschränken sich somit auf einen Denial-of-Service-Angriff.

Technischer Hintergrund

Die Veröffentlichung behebt zudem ein subtiles, aber beachtenswertes Problem in Telnet-Sitzungen, die die Funktion „Trust Sigil" Marker soll Benutzern helfen, zwischen legitimen vom Client generierten Aufforderungen und potenziell bösartigen vom Server gesendeten Aufforderungen zu unterscheiden.

In früheren Versionen wurde der Vertrauenszustand bei der Authentifizierung über einen Proxy nicht korrekt zurückgesetzt, bevor die Telnet-Sitzung begann. Infolgedessen wurden alle nachfolgenden Servernachrichten als vertrauenswürdig behandelt, was Benutzer dazu verleiten könnte, sensible Informationen wie Proxy-Passwörter einzugeben.

Obwohl dieses Szenario spezifische Bedingungen erfordert und auf veraltete Protokolle wie Telnet angewiesen ist, stellt es in Umgebungen, in denen solche Protokolle verwendet werden, ein realistisches Risiko dar.

Sicherheitslage und Risiko

Neben diesen Behebungen wurde zudem ein separates Problem, CVE-2026-4115, im Zusammenhang mit der Verarbeitung, dem Maintainer, stellt das Problem trotz der Zuweisung einer CVE-Nummer durch externe Parteien keine echte Sicherheitslücke dar.

Insgesamt konzentriert sich PuTTY 0.84 auf die Verbesserung der Robustheit und die Beseitigung, die missbraucht werden könnten, um Störungen oder Täuschungen zu verursachen.

Benutzer und Organisationen werden dringend aufgefordert, ein Upgrade vorzunehmen, insbesondere in Umgebungen, in denen sichere Remote-Zugriffstools, und sollten so weit wie möglich auf veraltete Protokolle wie Telnet verzichten.