FreeBSD：PuTTY -- 使用后未能从内存中擦除私钥 (92fc2e2b-c383-11e4-8ef7-080027ef73ec)

low Nessus 插件 ID 81659

语言：

简介

远程 FreeBSD 主机缺少与安全相关的更新。

描述

Simon Tatham 报告：

当内存中含有不再需要的 PuTTY 敏感数据时，应从中擦除这些数据，以防恶意软件日后获取 PuTTY 进程的访问权限，或防止将该内存交换到磁盘或写入到崩溃转储文件。在 SSH 登录期间所输入的密码就是一个典型的例子；其他例子包括过时的会话密钥、公钥密码以及公钥的私有部分。

PuTTY 0.63 以及较早版本在从磁盘文件加载私钥之后，在函数 ssh2_load_userkey 中错误地泄漏了含有私钥副本的内存缓冲区。伴随函数 ssh2_save_userkey（仅可由 PuTTYgen 调用）也可泄漏副本，但此情况仅在无法创建该函数试图保存副本的文件时发生。