Simon Tatham 报告：

此 [0.63] 版本修复之前的 PuTTY 版本中的多种安全漏洞，这些漏洞可允许 SSH-2 服务器使 PuTTY 导致缓冲区溢出或欠载并发生崩溃。[...]

可在主机密钥验证之前触发这些漏洞，这意味着即使信任您认为要连接的服务器也不一定安全，因为它可在网络上被欺骗，而主机密钥检查在可发生攻击之前不会检测到此问题。

此外，PuTTY 通过用户的私钥进行认证时，私钥或与之相等的信息在 PuTTY 的剩余运行时间内会被意外地保留在其内存中，这些信息可在此被读取 PuTTY 内存的其他进程找回，或者被写出到交换文件或崩溃转储。此版本也修复了该问题。

远程主机受到 GLSA-201309-08 中所述漏洞的影响（FileZilla：多个漏洞）

    在 FileZilla 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可诱使用户连接到恶意服务器，从而可能导致任意代码执行或拒绝服务。
      此外，本地攻击者还可读取敏感内存，从而可能导致泄露密码。
  变通方案：

    目前无任何已知的变通方案。

合并 PuTTY 的更多补丁，以解决 CVE-2013-4206、CVE-2013-4207、CVE-2013-4208

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此更新修复了多个缺陷，有关详细信息，请参阅上游公告：
http://www.chiark.greenend.org.uk/~sgtatham/putty/changes.html 此更新修复了四个 CVE：CVE-2013-4206、CVE-2013-4207、CVE-2013-4208、CVE-2013-4852

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在用于 X 的 Telnet/SSH 客户端 PuTTY 中发现多个漏洞。通用漏洞和暴露计划识别出以下问题：

- CVE-2013-4206 Mark Wooding 在执行模乘操作的 modmul 函数中发现一个造成堆损坏的缓冲区欠载缺陷。由于对 PuTTY 收到的任何 DSA 签名进行验证期间（包括初始密钥交换阶段期间）都会调用 modmul 函数，因此恶意服务器可在客户端收到并验证主机密钥签名之前利用此漏洞。因此，中间人可在 SSH 客户端与服务器之间执行对此漏洞的攻击，并且针对中间人攻击的普通主机密钥保护将被绕过。

- CVE-2013-4207 发现 DSA 签名中的非互质值可在验证 DSA 签名时造成模量反算计算代码中的缓冲区溢出。这样的签名无效。但是，此缺陷适用于 PuTTY 收到的任何 DSA 签名，包括初始密钥交换阶段，因此可在客户端收到并验证主机密钥签名之前被恶意服务器利用。

- CVE-2013-4208 发现 PuTTY 工具使用私钥之后将其留在内存中。

- CVE-2013-4852 SEARCH-LAB Ltd. 的 Gergely Eberhardt 发现 PuTTY 容易受到在认证之前的 SSH 握手期间导致堆溢出的整数溢出的影响，原因是未正确对从 SSH 服务器收到的长度参数进行边界检查。远程攻击者可利用此漏洞，通过导致 putty 客户端崩溃来发起本地拒绝服务攻击。

此外，此更新从上游向后移植一些可能与安全有关的主动增强。

远程主机安装了等于或高于版本 0.52 但低于版本 0.63 的 PuTTY。因此，有报告称它受到以下漏洞的影响：

  -“putty/sshbn.c”文件的“modmul”函数中存在溢出错误，可能导致处理 DSA 签名时发生堆损坏。(CVE-2013-4206)

  - 存在与模量反算、非互质值和 DSA 签名验证相关的缓冲区溢出错误。(CVE-2013-4207)

  - “putty/sshdss.c”文件中存在一个错误，可允许泄露私钥材料。
    (CVE-2013-4208)

  -“sshrsa.c”和“sshdss.c”文件中存在多个溢出错误。(CVE-2013-4852)

远程主机上安装的 WinSCP 程序的版本低于 5.1.7。因此，它包含受到以下与 PuTTY 相关的漏洞影响的来自 PuTTY 的代码：

  - 存在一个溢出错误，允许处理 DSA 签名时造成堆损坏。(CVE-2013-4206)

  - 存在一个与模量反算、非互质值和 DSA 签名验证有关的缓冲区溢出错误。(CVE-2013-4207)

  - 存在一个错误，允许私钥材料泄露。(CVE-2013-4208)

FileZilla 已更新至版本 3.7.3，添加了多项功能，修复了缺陷以及嵌入式 putty ssh 客户端中的安全问题。

完整的变更日志：https://filezilla-project.org/changelog.php

- 值得注意的变更：

- 对 FileZilla 中用来处理 SFTP 的 PuTTY 中的安全漏洞应用补丁。相关参考请参阅 CVE-2013-4852。

- 合并 PuTTY 的更多补丁，以解决 CVE-2013-4206、CVE-2013-4207、CVE-2013-4208

- 版本升级到 3.7.0.1

- 修复捆绑的 gnutls 的问题

- 更新翻译

- 更新到版本 3.7.0。3.6.0.2 后的变更：

- 将总传输速度显示为传输指示符上的工具提示

- 在快速连接栏中主机字段的工具提示中列出支持的协议

- 使用 TLS 代替弃用的术语 SSL

- 修改了密码保存功能禁用时的文本，不指向自助服务模式

- 改进了“更新”页面在设置对话框中的可用性

- 提高了 SFTP 性能

- 导航到父目录时，突出显示前子目录

- 编辑文件时，对传输使用高优先级

- 在指示单位是字节的过滤条件对话框中添加了大小条件的标签

- 忽略来源和目标相同的拖放操作，明确某些放下错误情况中的措词

- 修剪输入的端口号中的空格

- 略微加深非活动选项卡的颜色

- 选择多个项目时忽略文件列表上下文菜单中的 .. 项目

- 在证书和加密详细信息对话框中为 TLS 连接上的 FTP 显示 TLS 版本和密钥交换算法。

- 修复包含双引号的远程路径的处理

- 修复当名称包含的字符无法以区域设置的窄字符集表示时在 Explorer 中打开本地目录所发生的崩溃。

- 修复 SFTP 的主机密钥验证对话框中的内存泄漏

- 修复在高度很低的文件列表中的拖曳滚动

- 加载 XML 文件时不尝试写入这些文件

- 改进旧 DDE 文件关联的处理

- 修复在镜像重定向到 HTTPS 时自动更新程序中 HTTPS 的处理

- 更新到版本 3.6.0.2。3.5.3 版本以来的变更：

- 3.6.0.2 (2012/11/29)

- 修复阻拦 TLS 上的 FTP 上传的问题

- MSW：提高列出本地文件的次要性能

- 3.6.0.1 (2012/11/18)

- 修复 TLS 密码选择的问题，包括 GnuTLS 的缺陷补丁

- 修复关机时的崩溃

- 添加与不使用 UTF-8 的服务对应的日志消息

- 获取文件类型的小性能和内存优化

- 改进传输速度的格式

- 3.6.0 (2012/11/10)

- 修复 3.5.3 后引入的崩溃

- IPv6-only 主机应不再造成网络配置向导中发生崩溃

这是用于修复许多缺陷的更新，有关详细信息，请参阅上游公告：http://www.chiark.greenend.org.uk/~sgtatham/putty/changes.html 这是用于修复四个 CVE 的更新：CVE-2013-4206 CVE-2013-4207 CVE-2013-4208 CVE-2013-4852

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机上安装的 FileZilla Client 的版本低于 3.7.3。因此，它受到多种漏洞影响：

  - 存在一个缓冲区欠载漏洞，使用 SFTP 验证 DSA 签名时会发生此漏洞。
    (CVE-2013-4206)

  - 存在一个远程缓冲区溢出漏洞，使用 SFTP 处理特别构建的 DSA 签名时会触发此漏洞。(CVE-2013-4207)

  - 存在多种信息泄露漏洞，原因是未正确清理 SFTP 会话中使用的私钥。攻击者可通过诱骗用户连接到特别构建的 SFTP 服务器来利用这些问题。这可导致代码执行、拒绝服务以及访问敏感信息，例如 SFTP 登录密码、过时的会话密钥、公钥传递短语和公钥的私有部分。
    (CVE-2013-4208)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
69250	FreeBSD：PuTTY -- 0.63 之前的版本中的四个安全漏洞 (4b448a96-ff73-11e2-b28d-080027ef73ec)	Nessus	FreeBSD Local Security Checks	2013/8/8	2021/1/6	medium
69899	GLSA-201309-08：FileZilla：多个漏洞	Nessus	Gentoo Local Security Checks	2013/9/15	2021/1/6	medium
69392	Fedora 19：filezilla-3.7.3-1.fc19 (2013-14706)	Nessus	Fedora Local Security Checks	2013/8/20	2021/1/11	medium
69411	Fedora 18：putty-0.63-1.fc18 (2013-14676)	Nessus	Fedora Local Security Checks	2013/8/21	2021/1/11	medium
69313	Debian DSA-2736-1：putty - 多个漏洞	Nessus	Debian Local Security Checks	2013/8/13	2021/1/11	medium
69318	PuTTY 0.52 到 0.62 多种漏洞	Nessus	Windows	2013/8/13	2018/11/26	medium
70204	Fedora 18：filezilla-3.7.3-1.fc18 (2013-14794)	Nessus	Fedora Local Security Checks	2013/9/30	2021/1/11	medium
72389	WinSCP < 5.1.7 多种漏洞	Nessus	Windows	2014/2/7	2018/11/15	medium
75120	openSUSE 安全更新：filezilla (openSUSE-SU-2013:1347-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
69410	Fedora 19：putty-0.63-1.fc19 (2013-14656)	Nessus	Fedora Local Security Checks	2013/8/21	2021/1/11	medium
69494	FileZilla Client < 3.7.3 多种漏洞	Nessus	Windows	2013/8/13	2018/11/15	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium