Citrix wydał ostrzeżenie swoim użytkownikom w sprawie istotnej luki w zabezpieczeniach klienta PuTTY SSH dołączonego do XenCenter dla Citrix Hypervisor 8.2 CU1 LTSR, która może potencjalnie umożliwić atakującym dostęp do prywatnych kluczy SSH administratorów XenCenter. Luka, zidentyfikowana jako CVE-2024-31497, dotyczy kilku wersji XenCenter korzystających z PuTTY do połączeń SSH z maszynami wirtualnymi-gościami. Citrix zaleca, aby użytkownicy aktualizowali lub usuwali zaatakowany komponent PuTTY w celu ograniczenia ryzyka.
Szczegóły dotyczące luki
Luka wynika z metody starszych wersji programu klient PuTTY SSH wykorzystuje do generowania wartości jednorazowych ECDSA dla krzywej NIST P-521, kluczowego procesu uwierzytelniania. Tę lukę można potencjalnie wykorzystać, w określonych warunkach, aby umożliwić osobie atakującej mającej kontrolę nad gościnną maszyną wirtualną wydedukowanie klucza prywatnego SSH administratora XenCenter. Problem odkryli badacze Fabian Bäumer i Marcus Brinkmann z Uniwersytetu Ruhr w Bochum.
Znaleźliśmy krytyczną lukę w zabezpieczeniach #PuTTY Klient SSH z kluczami NIST P-521, który umożliwia odzyskanie klucza prywatnego z zaledwie 60 podpisów, CVE-2024-31497! Jeśli używasz #Putty lub #Filezilla z ECDSA P-521, zaktualizuj teraz i wygeneruj nowy klucz! Wspólna praca z @TrueSkrillor, szczegóły ⬇️
— Marcus Brinkmann (@lambdafu) 15 kwietnia 2024 r.
Środki zaradcze i zalecenia
W odpowiedzi na ten problem bezpieczeństwa firma Citrix wyeliminował komponent innej firmy PuTTY z XenCenter, począwszy od wersji 8.2.6, a kolejne wersje od 8.2.7 i nowsze już go nie zawierają. Użytkownikom korzystającym z wersji, których dotyczy problem, Citrix zaleca pobranie najnowszej wersji PuTTY i zainstalowanie jej w celu zastąpienia wersji dołączonej do starszych wersji XenCenter. Alternatywnie klienci, którzy nie korzystają z funkcji „Otwórz konsolę SSH”, mogą całkowicie usunąć komponent PuTTY. Citrix podkreśla znaczenie aktualizacji PuTTY do co najmniej wersji 0.81 dla zachowania bezpieczeństwa.
W szerszym kontekście Firma Citrix zajęła się także innymi lukami w zabezpieczeniach.
