Vulnerabilità in PuTTY

CVE-2024-31497

È stata rilevata una vulnerabilità che consente il recupero di chiavi che interessa PuTTY, noto client open source per la gestione remota (SSH, Telnet e rlogin) di sistemi informatici, e altri software basati sui servizi GIT.

Tale vulnerabilità, identificata con la CVE-2024-31497, è dovuta ad un’errata implementazione del protocollo ECDSA (NIST P-521) e comporta la generazione di chiavi di cifratura asimmetrica non conformi allo standard. Ne consegue che quanto cifrato con tali chiavi potrebbe essere analizzato – tramite tecniche di attacco sofisticate – per ricostruire la secret key.

Prodotti e versioni affette

Azioni di mitigazione

Si raccomanda di aggiornare tempestivamente i software vulnerabili seguendo le indicazioni riportate nel bollettino di sicurezza nella sezione Riferimenti.

Si evidenzia inoltre che tutte le coppie di chiavi ECDSA - NIST P-521 generate tramite le versioni del software vulnerabili sono da considerarsi compromesse. Si raccomanda di sostituire tali chiavi con nuove coppie generate con le versioni aggiornate dei prodotti vulnerabili.

*Si consiglia agli utenti di TortoiseSVN di configurare TortoiseSVN in modo da utilizzare Plink dall'ultima versione di PuTTY 0.81 quando si accede a un repository SVN via SSH fino a quando non sarà disponibile una patch.

Riferimenti

https://www.openwall.com/lists/oss-security/2024/04/15/6
https://www.chiark.greenend.org.uk/~sgtatham/putty/changes.html
https://www.chiark.greenend.org.uk/~sgtatham/putty/wishlist/vuln-p521-bias.html
https://nvd.nist.gov/vuln/detail/CVE-2024-3149

SOC