Software-update: WinSCP 6.3.3

Versie 6.3.3 van WinSCP is verschenen. Met dit opensourceprogramma kunnen op een veilige manier bestanden tussen twee computers worden gekopieerd. Het programma ondersteunt ftp, secure ftp en het oudere scp-protocol. WinSCP is niet alleen als een opzichzelfstaand programma beschikbaar, maar ook als plug-in voor de programma's FAR en Altap Salamander. Hieronder is de changelog voor deze uitgave te vinden.

Changes in version 6.3.3:

• SSH core and SSH private key tools (PuTTYgen and Pageant) upgraded to PuTTY 0.81. It brings the following change:
  • Security fix for CVE-2024-31497: NIST P521/ecdsa-sha2-nistp521 signatures are no longer generated with biased values of k. The previous bias compromises private keys. 2285 vuln-p521-bias
• Translation update: Belarusian.
• XML parser upgraded to Expat 2.6.2.
• Support for TortoiseMerge in Compare Files extension. 2279
• Bug fix: File panel does not have focus after Login in Explorer interface. 2276
• Bug fix: Failure when closing the last remote tab. 2283
• Bug fix: Copy and paste to another application in Store installation sometimes does not work. 2284

Versienummer	6.3.3
Releasestatus	Final
Besturingssystemen	Windows 7, Windows Server 2012, Windows 8, Windows 10, Windows Server 2016, Windows Server 2019, Windows 11
Website	WinSCP
Download	https://winscp.net/download/WinSCP-6.3.3-Setup.exe
Licentietype	GPL

Reacties (6)

[Jean luc Picard]

Ik snap niet dat onderstaande hier dan niet even mee wordt gelinkt.

nieuws: Kwetsbaarheid in PuTTY maakt het mogelijk om sommige private keys te ...

[CH4OS]

Omdat het niet zo'n heel groot issue is:
SSH access staat meestal niet open en bloot (vereist meestal al een VPN verbinding of staat naar buiten toe al helemaal niet open). En je hebt daarbij ook nog eens zo'n 60 public keys nodig voordat je de private key naar alle waarschijnlijkheid kan herleiden. Het is sowieso al ongebruikelijk om meerdere public keys op 1 private key te maken, die ook nog eens met ECDSA NIST P-521 bit encryptie gemaakt moeten zijn...

Begrijp me niet verkeerd, security is heel belangrijk tegenwoordig. En ja, dit is zeker wel een dingetje, maar maak het alsjeblieft ook niet groter dan dat het is. Meestal worden immers RSA 2048 of 4096 bit keys gegenereerd, waarin de vulnerability niet zit. Genereer daarnaast altijd een key pair op de host, zodat je enkel de public key hoeft in te stellen op de client.

Door de kwetsbaarheid, die wordt gevolgd onder CVE-2024-31497, kunnen aanvallers de NIST P-521-keys van gebruikers verkrijgen. Dat kan door de code waarmee de PuTTY-client 'signatures' genereert via het Ecdsa. Die code bevat een bias waardoor gegenereerde handtekeningen gebruikt kunnen worden om de achterliggende private key te achterhalen. Aanvallers zijn daartoe in staat als ze ongeveer zestig van dergelijke signatures in handen hebben. Ze hebben daarvoor wel toegang nodig tot de handtekeningen van het slachtoffer, bijvoorbeeld door een SSH-server die het slachtoffer gebruikt tijdelijk over te nemen.

En als ze dan toch al op de (SSH) server zitten, heb je een groter probleem.

[Reactie gewijzigd door CH4OS op 25 juli 2024 09:28]

[[Yellow]]

SSH staat meestal niet open? Euh, daar zou je best eens flink mis kunnen zitten: https://www.shodan.io/search?query=ssh
En dit betreft alleen de SSH servers die op well-known ports draaien (en dat probeer je zo vaak mogelijk te voorkomen)

Je hebt wel een punt dat het alleen NIST P-521 keys betreft dus het wordt niet heel vaak gebruikt.
Maar die private keys zijn dan wel weer binnen 60 pogingen te ontdekken via de publieke sleutel.

Het is sowieso al ongebruikelijk om meerdere public keys op 1 private key te maken

Dat hoort juist niet eens te kunnen! Die 60 keys die genoemd worden zijn het aantal pogingen dat nodig is, niet het aantal publieke keys dat past op 1 private key

[CH4OS]

Niet zomaar open voor de buitenwereld, mag ik hopen althans.

Ah, ik dacht dus dat het om verschillende keys ging! Dank voor de verduidelijking!

[Jerie]

Het staat als eerst genoemd in de changelog:

SSH core and SSH private key tools (PuTTYgen and Pageant) upgraded to PuTTY 0.81. It brings the following change:

Security fix for CVE-2024-31497: NIST P521/ecdsa-sha2-nistp521 signatures are no longer generated with biased values of k. The previous bias compromises private keys. 2285 vuln-p521-bias

[Z80]

En filezilla kan ook in het rijtje. Deze gebruikt ook putty op de achtergrond.