36 Jahre alte SCP-Schwachstelle gefährdet OpenSSH & Co.

Sicherheitsforscher haben im Secure Copy Protocol (SCP) eine Schwachstelle gefunden, die seit 36 Jahren existiert. Dadurch sind Programme, die auf SCP aufsetzen, wie OpenSSH, Putty und so weiter, gefährdet.

Das Session Control Protocol (SCP), auch bekannt als Secure Copy, ist ein Netzwerkprotokoll, das es Benutzern ermöglicht, Dateien sicher zwischen einem lokalen Host und einem entfernten Host unter Verwendung von RCP (Remote Copy Protocol) und SSH-Protokoll zu übertragen. Daher wird es für die Dateiübertragung zwischen Rechnern in Produkten wie OpenSSH, PuTTY oder WinSCP verwendet.

Sicherheitsforscher Harry Sintonen von F-Secure warnt in diesem Advisory davor, dass Angreifer eine 36 Jahre alte Schwachstelle in SCP nutzen können.

"Many scp clients fail to verify if the objects returned by the scp server match those it asked for. This issue dates back to 1983 and rcp, on which scp is based. A separate flaw in the client allows the target directory attributes to be changed arbitrarily. Finally, two vulnerabilities in clients may allow server to spoof the client output."

Über einen Man-in-the-Middle-Angriff ließen sich dann Dateien hinzufügen. Beim Kopieren einer Datei könnte ein Angreifer eine bash-Datei mit im Home-Verzeichnis anlegen. Diese würde dann beim nächsten Start ausgeführt und könnte selbständig Aktionen auf dem System durchführen. Insgesamt gibt es eine ganze Reihe Schwachstellen in SCP:

• SCP client improper directory name validation (CVE-2018-20685): Ein verwundbarer Scp-Client könnte einem entfernten SCP-Server erlauben, die Berechtigungen des Zielverzeichnisses zu ändern, indem er leere ('D0777 0 \n') oder punktförmige ('D0777 0 .\n') Verzeichnisnamen verwendet.
• SCP client missing received object name validation (CVE-2019-6111): Diese Schwachstelle könnte es einem bösartigen SCP-Server ermöglichen, beliebige Dateien im Zielverzeichnis des SCP-Clients zu überschreiben. Wenn eine rekursive Operation (-r) durchgeführt wird, kann der Server auch Unterverzeichnisse manipulieren (z.B. overwrite.ssh/authorized_keys)."
• SCP client spoofing via object name (CVE-2019-6109): Aufgrund fehlender Zeichenkodierung in der Fortschrittsanzeige kann die Clientausgabe mit ANSI-Code manipuliert werden, um zu verbergen, dass zusätzliche Dateien übertragen werden.
• SCP client spoofing via stderr (CVE-2019-6110): Dieses Problem ähnelt auch dem obigen, so dass ein bösartiger Server die Clientausgabe manipulieren kann.

Nur CVE-2018-20685 ist mit dem Bedrohungsgrad "hoch" eingestuft. Eine Absicherung gegen die Schwachstelle besteht darin, auf den SCP-Modus zu verzichten. So ist OpenSSH im SCP-Modus von allen oben genannten Schwachstellen betroffen. WinSCP ist laut Sintonen, der zufolge seit der Version 5.14 abgesichert. Bei OpenSSH ist nur die Schwachstelle CVE-2018-20685 geschlossen. Auf Hacker News finden sich einige zusätzliche Informationen. Und heise.de hat hier einen deutschsprachigen Beitrag mit Hinweisen publiziert.