PuTTY 0.72 发布 SSH-1协议已过时
- 来源：开源中国
- 阅读：1569次
- 2019/07/22
[摘要] PuTTY 0.72 发布了。PuTTY 是一款集成虚拟终端、系统控制台和网络文件传输为一体的自由开源程序。它支持多种网络协议，包括 SCP，SSH，Telnet，rlogin 和原始的套接字连接，它也可以连接到串行端口。其软件名字“PuTTY”并没有特殊含义。
新版本是一个安全更新版本，修复了过时的 SSH-1 中漏洞协议，也包括 0.71 以来的各种 bug 修复。其中许多安全问题是在最近欧盟资助的 HackerOne（全球知名漏洞悬赏平台） 上发现的，根据发布公告，该赏金计划已于 7 月结束，共持续了约半年时间。之后想反馈 bug 的话可通过电子邮件与 PuTTY 团队联系，具体可查看反馈页面。
主要漏洞修复如下：
恶意 SSH-1 服务器可能通过发送极短的 RSA 密钥或某些错误的数据包长度字段来触发缓冲区溢出。 这些都可能在主机密钥验证之前发生，因此即使你信任某个打算连接的服务器，仍然会面临风险。（但是，SSH-1 协议已经过时，并且最新版本的 PuTTY 在默认情况下不会尝试它，所以如果你使用旧服务器并且已经明确配置了 SSH-1，那么你将面临风险。）
如果恶意进程发现了一种模仿 Pageant 的方法，那么它可能会导致访问恶意 Pageant 的任何 SSH 客户端工具（PuTTY，Plink，PSCP，PSFTP）中出现整数溢出。
其他 bug 修复详情请查阅更新说明。
下载地址
恶意 SSH-1 服务器可能通过发送极短的 RSA 密钥或某些错误的数据包长度字段来触发缓冲区溢出。 这些都可能在主机密钥验证之前发生，因此即使你信任某个打算连接的服务器，仍然会面临风险。（但是，SSH-1 协议已经过时，并且最新版本的 PuTTY 在默认情况下不会尝试它，所以如果你使用旧服务器并且已经明确配置了 SSH-1，那么你将面临风险。）
如果恶意进程发现了一种模仿 Pageant 的方法，那么它可能会导致访问恶意 Pageant 的任何 SSH 客户端工具（PuTTY，Plink，PSCP，PSFTP）中出现整数溢出。
其他 bug 修复详情请查阅更新说明。
下载地址
赞0
踩0
