SSH 终端仿真器 putty 已更新到新上游版本 0.64，修复了多个安全问题和缺陷：

安全补丁：在使用用户密钥进行认证后，PuTTY 不会再将用户密钥的私钥部分错误地保留在内存中。[bsc#920167] (CVE-2015-2157)

新功能：支持 SSH 连接共享功能，使得同一主机的多个 PuTTY 实例可以共享一个 SSH 连接，而无需所有实例均独立登录。

缺陷补丁：如果用方括号将 IPv6 文字括起来以防止冒号被误认为 :port 后缀，则会在整个套件中正确处理此文字。

MATTA-2015-002

Florent Daigniere 发现，PuTTY 未按 RFC 4253 的要求强制执行 Diffie-Hellman 服务器值的可接受范围，在服务器有漏洞时可能允许建立可窃听的连接。

#779488 CVE-2015-2157

Patrick Coleman 发现，PuTTY 在加载和保存密钥文件时未从内存中清除 SSH-2 私钥信息，这可导致泄露私钥材料。

-- Colin Watson [cjwatson@debian.org]

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Simon Tatham 报告：

当内存中含有不再需要的 PuTTY 敏感数据时，应从中擦除这些数据，以防恶意软件日后获取 PuTTY 进程的访问权限，或防止将该内存交换到磁盘或写入到崩溃转储文件。在 SSH 登录期间所输入的密码就是一个典型的例子；其他例子包括过时的会话密钥、公钥密码以及公钥的私有部分。

PuTTY 0.63 以及较早版本在从磁盘文件加载私钥之后，在函数 ssh2_load_userkey 中错误地泄漏了含有私钥副本的内存缓冲区。伴随函数 ssh2_save_userkey（仅可由 PuTTYgen 调用）也可泄漏副本，但此情况仅在无法创建该函数试图保存副本的文件时发生。

修复了使用后未从内存中擦除私钥的问题。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机安装的 PuTTY 版本低于 0.64。因此，它受到多种漏洞的影响：

- 存在一个信息泄露漏洞，原因是保存密钥文件或将密钥文件加载到磁盘期间未能清除来自内存的 SSH-2 私钥信息。本地攻击者可利用此漏洞泄露潜在敏感信息。(CVE-2015-2157)

- Diffie-Hellman 密钥交换中存在一个信息泄露漏洞，原因是未能正确处理服务器发送的 0 值密钥。中间人攻击者可利用此漏洞泄露潜在敏感信息。(OSVDB 136167)

Patrick Coleman 发现 Putty SSH 客户端无法擦除未使用的敏感内存。

此外，Florent Daigniere 发现 Diffie Hellman 交换中的指数值受到的限制不充分。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
81762	openSUSE 安全更新：putty (openSUSE-2015-218)	Nessus	SuSE Local Security Checks	2015/3/12	2021/1/19	low
82158	Debian DLA-173-1：putty 安全更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	low
81659	FreeBSD：PuTTY -- 使用后未能从内存中擦除私钥 (92fc2e2b-c383-11e4-8ef7-080027ef73ec)	Nessus	FreeBSD Local Security Checks	2015/3/6	2021/1/6	low
81849	Fedora 22：putty-0.64-1.fc22 (2015-3070)	Nessus	Fedora Local Security Checks	2015/3/17	2021/1/11	low
81854	Fedora 20：putty-0.64-1.fc20 (2015-3204)	Nessus	Fedora Local Security Checks	2015/3/17	2021/1/11	low
81669	PuTTY < 0.64 多种信息泄露漏洞	Nessus	Windows	2015/3/6	2019/1/2	medium
81834	Debian DSA-3190-1：putty - 安全更新	Nessus	Debian Local Security Checks	2015/3/17	2021/1/11	low
81853	Fedora 21：putty-0.64-1.fc21 (2015-3160)	Nessus	Fedora Local Security Checks	2015/3/17	2021/1/11	low

检测

插件搜索

low

low

low

low

low

medium

low

low