Zero
Tutti SCP (Secure Copy) implementazioni da 36 anni, dal 1983, sono vulnerabili a quattro bug di sicurezza che consentire a un utente malintenzionato di SCP server di apportare modifiche non autorizzate del cliente (utente) sistema e nascondere operazioni dannose nel terminale.
Le vulnerabilità sono state scoperte da Harry Sintonen, un ricercatore di sicurezza con sauna finlandese, cyber-società di sicurezza F-Secure, che lavora dall’agosto dello scorso anno per averli fissi e patchato nelle principali applicazioni che supportano il protocollo SCP.
Per i nostri lettori che non hanno familiarità con SCP, il protocollo è “protetto” attuazione della RCP (Remote Copy Protocol), un protocollo per il trasferimento di file in rete.
SCP opere sulla cima del protocollo SSH e supporta un meccanismo di autenticazione per fornire l’autenticità e la riservatezza per trasferire file, proprio come SSH fornisce la stessa cosa per vecchi e insicuri protocollo Telnet.
Fin dal suo primo rilascio nel 1983, SCP è stato utilizzato come applicazione standalone sotto lo stesso nome, ma è stato anche inserito all’interno di altre applicazioni. Per esempio, SCP è lo standard metodo di trasferimento file per OpenSSH, Putty e WinSCP.
Ogni volta che gli utenti di trasferire file tra un server e un client (o viceversa) tramite queste applicazioni, quelle di trasferimento sono, a insaputa dell’utente, trasferiti, tramite il protocollo SCP-a meno che gli utenti hanno scelto di utilizzare il protocollo SFTP come modalità predefinita per il trasferimento dei dati.
In un security advisory pubblicato sul suo sito personale, la scorsa settimana, Sintonen ha rivelato l’esistenza di quattro principali bug di sicurezza che interessano SCP implementazioni:
- CVE-2018-20685 – Un SCP client app permette remoto SCP server per modificare le autorizzazioni della directory di destinazione.CVE-2019-6111 – UN malintenzionato SCP server è in grado di sovrascrivere file arbitrari nel client SCP directory di destinazione. Se un operazioni ricorsive (-r) è stata eseguita, il server è in grado di manipolare le sottodirectory (per esempio di sovrascrittura .ssh/authorized_keys).CVE-2019-6109 – Il client terminale di uscita può essere modificato tramite l’ANSI codice per nascondere le operazioni successive.CVE-2019-6110 – Simili come sopra.
I problemi hanno le loro radici in BSD originale di attuazione del protocollo RCP, il che significa che tutti SCP implementazioni in passato 36 anni sono coinvolti, anche se, in gradi diversi.
|
SCP attuazione |
Versione |
#1 |
#2 |
#3 |
#4 |
|
OpenSSH SCP |
<=7.9 |
x |
x |
x |
x |
|
Stucco PSCP |
? |
– |
– |
x |
x |
|
WinSCP SCP modalità |
<=5.13 |
– |
x |
– |
– |
Sintonen consiglia di applicare la patch per l’elencati clienti. Al momento della scrittura, solo il WinSCP squadra ha affrontato i problemi segnalati, con il rilascio di WinSCP 5.14.
Se la patch non è un’opzione o al di fuori del controllo dell’utente, si consiglia agli utenti di configurare SCP clienti per la richiesta di file tramite SFTP (Secure FTP), se possibile.
Si deve notare che gli attacchi che potrebbero tentare di sfruttare queste vulnerabilità contare su un malintenzionato di prendere più di un SCP server, o di essere in un Man-in-the-Middle position, anche se l’attacco MitM potrebbe essere più facile da individuare in quanto richiede la vittima ad accettare il male host di impronte digitali.
Gli utenti che credono che potrebbe essere influenzato possibile mantenere un occhio su Sirtonen di sicurezza di consulenza per l’aggiornamento delle informazioni per la prossima patch ad altri SCP clienti, dopo questo articolo data di pubblicazione. Faremo del nostro meglio per mantenere questo articolo aggiornato.
Più sicurezza informatica notizie:
Dettagli pubblicato sulle vulnerabilità dei popolari per l’accesso all’edificio systemG aggiornamento della Suite avverte quando qualcuno sta esportando i dati della tua azienda
NASA app interno trapelato dipendente e-mail, progetto namesNew strumento consente di automatizzare gli attacchi di phishing che ignorano 2FA
Zerodium ora pagare $2 milioni per iOS di Apple remote jailbreaksMost router di casa non approfittano di Linux funzionalità di sicurezza avanzate
Google now permette di donare in beneficenza tramite il Play Store CNETPhishing e di spear-phishing: Un cheat sheet per i professionisti TechRepublic
Argomenti Correlati:
Open Source
Di sicurezza, TV
La Gestione Dei Dati
CXO
Centri Dati
0