Die Nutzung der Dateiübertragung zwischen Computern OpenSSH, PuTTY oder WinSCP im Secure-Copy-Protocol-Modus (SCP), erhöht das Risiko angegriffen zu werden. Clients versäumen es dabei unter anderem, vom Server erhaltene Objekte zu verifizieren. Angreifer könnten so beispielsweise Dateien von Opfern ändern.

Ein bösartiger SSH-Server könnte sich als Man-in-the-Middle in die SSH-Verbindung einklinken und dann etwa bei einem SCP-Kopiervorgang zusätzliche Dateien einschleusen. Wenn der Anwender beispielsweise eine Datei in sein Home-Verzeichnis kopiert, kann der Angreifer dort eine weitere Datei wie .bash_aliases anlegen. Beim nächsten Start einer bash-Shell wird diese dann ausgewertet und trojanisiert das System. Der Vorgang ist nahezu unsichtbar für das Opfer. Der Angreifer versteckt die Anzeige der zusätzlichen Kopieraktion mit ANSI-Kontrollsequenzen. Beim Aufbau der Verbindung erscheint allerdings eine Warnung über einen falschen Host-Fingerprint des MITM-SSH-Servers, den der Anwender akzeptieren muss.

Nur eine (CVE-2018-20685) von den Lücken ist mit dem Bedrohungsgrad "hoch" eingestuft. Das Angriffsrisiko bei einer Schwachstelle (CVE-2019-6111) gilt als "mittel", zwei weitere (CVE-2019-6109, CVE-2019-6110) sind mit "niedrig" eingestuft. Übergriffe sollen in allen Fällen nur aus einem Netzwerk möglich sein.

Um sich Abzusichern, kann schlicht und einfach der SCP-Modus gemieden werden. Der Sicherheitsforscher Harry Sintonen schreibt in seiner Warnung, dass nur OpenSSH im SCP-Modus von allen Lücken betroffen ist. Dort können noch weitere Details zu den Schwachstellen gefunden werden. Die Entwickler haben in der aktuellen Version 7.9 von OpenSSH bislang nur die Schwachstelle mit der Kennung CVE-2018-20685 geschlossen. Für die anderen Lücken stellt Sintonen einen Source-Code-Fix bereit.

Ihm zufolge ist WinSCP seit der Version 5.14 abgesichert. Da die aktuelle Version aus Juli 2017 stammt, ist PuTTY offensichtlich noch verwundbar. Die Lücken hat Sintonen erst im August 2018 entdeckt.

(jf, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE