PuTTY等工具曝嚴(yán)重安全漏洞：可還原私鑰和偽造簽名
據(jù)報(bào)道，知名SSH和Telnet工具PuTTY于4月18日暴露安全漏洞CVE-2024-31497，涉及版本0.68至0.80。僅需使用60個(gè)簽名，攻擊者即可還原私鑰。為應(yīng)對(duì)此風(fēng)險(xiǎn)，官方更新推出0.81版本，呼吁使用者盡快升級(jí)。
這一隱患由德國(guó)波鴻魯爾大學(xué)的Fabian B?umer與Marcus Brinkmann發(fā)現(xiàn)，位于PuTTY的SSH身份驗(yàn)證環(huán)節(jié)。該應(yīng)用采用NIST P-521曲線生成ECDSA nonces（臨時(shí)唯一加密數(shù)字），但由于生成方式固定，可能導(dǎo)致偏差。
攻擊者只需獲取數(shù)十條已簽名消息及公鑰，便可從中恢復(fù)私鑰，進(jìn)而偽造簽名，實(shí)現(xiàn)未經(jīng)授權(quán)的服務(wù)器訪問(wèn)。
此外，F(xiàn)ileZilla、WinSCP以及TortoiseGit等相關(guān)組件亦受到影響。目前，官方已發(fā)布PuTTY 0.81、FileZilla 3.67.0、WinSCP 6.3.3以及TortoiseGit 2.15.0.1以修復(fù)此問(wèn)題。
官方強(qiáng)調(diào)CVE-2024-31497漏洞嚴(yán)重性，強(qiáng)烈建議用戶和管理員立即更新。所有使用ECDSA NIST-P521密鑰的產(chǎn)品或組件均受影響，應(yīng)及時(shí)刪除authorized_keys、GitHub存儲(chǔ)庫(kù)及其他相關(guān)平臺(tái)中的此類密鑰，防范未授權(quán)訪問(wèn)及潛在數(shù)據(jù)泄露。
聲明：本文內(nèi)容及配圖由入駐作者撰寫(xiě)或者入駐合作網(wǎng)站授權(quán)轉(zhuǎn)載。文章觀點(diǎn)僅代表作者本人，不代表電子發(fā)燒友網(wǎng)立場(chǎng)。文章及其配圖僅供工程師學(xué)習(xí)之用，如有內(nèi)容侵權(quán)或者其他違規(guī)問(wèn)題，請(qǐng)聯(lián)系本站處理。
舉報(bào)投訴
-
服務(wù)器
+關(guān)注
關(guān)注
13文章
10077瀏覽量
90804 -
安全漏洞
+關(guān)注
關(guān)注
0文章
152瀏覽量
17110 -
putty
+關(guān)注
關(guān)注
1文章
10瀏覽量
10754
發(fā)布評(píng)論請(qǐng)先 登錄
相關(guān)推薦
熱點(diǎn)推薦
CW32F030C8T6數(shù)字簽名實(shí)戰(zhàn)
實(shí)現(xiàn)需通過(guò)權(quán)威認(rèn)證（如FIPS 140-2），避免使用自定義或未經(jīng)驗(yàn)證的加密庫(kù)。
私鑰必須存儲(chǔ)在安全環(huán)境中（如HSM或安全芯片），禁止硬編碼在代碼中。公鑰可嵌入固件，但需校驗(yàn)其完整性和
發(fā)表于 11-19 08:03
CW32F030C8T6數(shù)字簽名的實(shí)戰(zhàn)指南
使用自定義或未經(jīng)驗(yàn)證的加密庫(kù)。
私鑰必須存儲(chǔ)在安全環(huán)境中（如HSM或安全芯片），禁止硬編碼在代碼中。公鑰可嵌入固件，但需校驗(yàn)其完整性和來(lái)源。定期輪換密鑰以降低泄露風(fēng)險(xiǎn)。
固件
發(fā)表于 11-18 06:35
芯源半導(dǎo)體安全芯片技術(shù)原理
物聯(lián)網(wǎng)設(shè)備涵蓋智能家居、工業(yè)控制、智能交通、醫(yī)療健康等多個(gè)領(lǐng)域，由于其數(shù)量龐大、分布廣泛、接入方式多樣等特點(diǎn)，面臨的安全威脅復(fù)雜多樣。?
數(shù)據(jù)傳輸安全威脅：設(shè)備在與云端、其他設(shè)備進(jìn)行數(shù)
發(fā)表于 11-13 07:29
行業(yè)觀察 | 微軟發(fā)布高危漏洞更新，涉及 Windows、Office、SQL Server 等多款產(chǎn)品
微軟于2025年9月的“補(bǔ)丁星期二”發(fā)布了81個(gè)漏洞的修復(fù)更新，覆蓋Windows、MicrosoftOffice、SQLServer等核心產(chǎn)品。本次更新修復(fù)了2個(gè)已被公開(kāi)披露的零日漏洞，并有9個(gè)
Docker生產(chǎn)環(huán)境安全配置指南
據(jù)統(tǒng)計(jì)，超過(guò)60%的企業(yè)在Docker生產(chǎn)環(huán)境中存在嚴(yán)重安全漏洞。本文將揭示那些容易被忽視但致命的安全隱患，并提供完整的企業(yè)級(jí)解決方案。
IBM調(diào)研報(bào)告：13%的企業(yè)曾遭遇AI模型或AI應(yīng)用的安全漏洞 絕大多數(shù)缺乏完善的訪問(wèn)控制管理
成本報(bào)告》顯示，當(dāng)前 AI 應(yīng)用的推進(jìn)速度遠(yuǎn)快于其安全治理體系的建設(shè)。該報(bào)告首次針對(duì) AI 系統(tǒng)的安全防護(hù)、治理機(jī)制及訪問(wèn)控制展開(kāi)研究，盡管遭遇 AI 相關(guān)安全漏洞的機(jī)構(gòu)在調(diào)研樣本中占比不高，一個(gè)既定事實(shí)是： AI 已成為高價(jià)值
自簽名證書(shū)工具cfssl詳解
CFSSL（CloudFlare's PKI and TLS toolkit）由 CloudFlare 用go語(yǔ)言開(kāi)發(fā)的一個(gè)開(kāi)源工具，用于證書(shū)簽名、驗(yàn)證和管理。
如何維護(hù)i.MX6ULL的安全內(nèi)核？
使用的是 v.LF5.15.71_2.2.0，其中包括 Yocto Kirkstone。但是，內(nèi)核 5.15.71 存在許多安全漏洞：根據(jù) cvedetails.com 為 2077。修補(bǔ)所有這些幾乎是不可行的，即使使用了
發(fā)表于 04-01 08:28
如何利用iptables修復(fù)安全漏洞
隨著網(wǎng)絡(luò)安全威脅的不斷增加，安全中心掃描越來(lái)越頻繁。尤其是在大數(shù)據(jù)安全中心的漏洞報(bào)告中，許多漏洞在生產(chǎn)環(huán)境中無(wú)法通過(guò)服務(wù)升級(jí)來(lái)修復(fù)。
緩沖區(qū)溢出漏洞的原理、成因、類型及最佳防范實(shí)踐（借助Perforce 的Klocwork/Hleix QAC等靜態(tài)代碼分析工具）
本期來(lái)認(rèn)識(shí)軟件漏洞的“?？汀薄彌_區(qū)溢出，C/C++開(kāi)發(fā)者尤其要注意！全面了解該漏洞的成因、類型、常見(jiàn)示例，以及如何借助Klocwork、Helix QAC等SAST工具進(jìn)行防護(hù)。
【版本控制安全簡(jiǎn)報(bào)】Perforce Helix Core安全更新：漏洞修復(fù)與國(guó)內(nèi)用戶支持
Perforce Helix Core近日發(fā)布安全補(bǔ)丁，解決高危DoS漏洞，安全性進(jìn)一步增強(qiáng)！獲取支持，可咨詢Perforce授權(quán)代理商龍智，我們提供咨詢、試用、安裝部署、培訓(xùn)、技術(shù)支
微軟Outlook曝高危安全漏洞
近日，美國(guó)網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)發(fā)布了一項(xiàng)緊急安全公告，揭示了微軟Outlook中存在的一個(gè)高危遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2024-21413)。該
IP地址偽造和反偽造技術(shù)
其他合法或非法的IP地址。在TCP/IP協(xié)議棧中，IP層負(fù)責(zé)數(shù)據(jù)包的傳輸和路由選擇，而對(duì)于源 IP 地址的真實(shí)性驗(yàn)證就是相對(duì)較弱。 有哪些IP地址常見(jiàn)的偽造手段？ 這里主要有兩種，分別是基于原始套接字的偽造和利用網(wǎng)絡(luò)工具進(jìn)行
對(duì)稱加密技術(shù)有哪些常見(jiàn)的安全漏洞？
對(duì)稱加密技術(shù)在實(shí)際應(yīng)用中可能面臨的安全漏洞主要包括： 實(shí)現(xiàn)不當(dāng)： 錯(cuò)誤的加解密實(shí)現(xiàn)、弱隨機(jī)數(shù)生成器或其他邏輯錯(cuò)誤都可能導(dǎo)致安全漏洞。 漏洞利用： 利用已知的弱點(diǎn)或攻擊手段，如理論上可行的分組攻擊或側(cè)
在linux系統(tǒng)通過(guò)OpenSSL工具自簽https證書(shū)
工具介紹 OpenSSL是SSL/TLS協(xié)議的實(shí)現(xiàn)工具 key是私鑰文件，用于對(duì)發(fā)送給客戶端的數(shù)據(jù)加密，以及對(duì)從客戶端接收的數(shù)據(jù)進(jìn)行解密。 csr是證書(shū)簽名請(qǐng)求文件，用于提交給證書(shū)頒發(fā)
工商網(wǎng)監(jiān)
評(píng)論