Der Sicherheitsforscher Harry Sintonen von F-Secure hat im Secure Copy Protocol vier Schwachstellen dokumentiert, deren älteste auf das Jahr 1983 zurückreicht. Betroffen sind scp-Clients, die auf dem von rcp abgeleiteten Protokoll aufsetzen, darunter OpenSSH, PuTTY PSCP und WinSCP. Die offizielle Advisory vom 11. Januar 2019 listet die CVE-Zuordnungen und die betroffenen Versionsstände.
Sintonen hatte die Lücken bereits im August 2018 entdeckt und an die Anbieter gemeldet. Der Kern des Problems: Viele scp-Clients prüfen nicht, ob die Objekte, die ein scp-Server zurücksendet, mit den angeforderten Dateien übereinstimmen. Ein bösartiger oder kompromittierter Server kann dadurch beliebige Dateien im Zielverzeichnis des Clients ablegen, dort Verzeichnisrechte verändern und über stderr die Bildschirmausgabe täuschen. In dem von Sintonen beschriebenen Angriffsverlauf schleust ein Angreifer beim scp-Holen eine Datei .bash_aliases im Home-Verzeichnis ein, während der Fortschritt durch ANSI-Steuerungscodes vorgetäuscht wird. Öffnet das Opfer danach eine neue Shell, laufen die eingeschleusten Befehle.
Vier CVE-Einträge mit historischem Ursprung
Die Liste umfasst CVE-2018-20685 mit unzureichender Validierung von Verzeichnisnamen und der Einstufung hoch, CVE-2019-6111 mit fehlender Prüfung empfangener Objektnamen als Verwandte der alten CVE-2000-0992 sowie CVE-2019-6109 und CVE-2019-6110 zur Täuschung der Client-Ausgabe über Objektnamen oder stderr. Die Variante der Objektnamen-Lücke in WinSCP führte separat zu CVE-2018-20684. Beim rekursiven Kopieren konnte ein Server laut Advisory sogar Unterverzeichnisse manipulieren und dort Dateien wie .ssh/authorized_keys überschreiben.
OpenSSH, PuTTY und WinSCP im Stand von Januar 2019
OpenSSH scp war bis Version 7.9 von allen vier Punkten betroffen; zum Zeitpunkt der Veröffentlichung war dort nur die Verzeichnisnamen-Lücke CVE-2018-20685 behoben. WinSCP trug das Problem im scp-Modus bis Version 5.13 und schloss es mit dem Update auf 5.14. PuTTYS PSCP war für die beiden Täuschungs-Lücken anfällig, ein Patch fehlte bei der Offenlegung noch; die PuTTY-Entwickler dokumentierten den offenen Punkt in ihrer Wunschliste. Als Gegenmaßnahme empfahl Sintonen den Wechsel auf sftp, das der Tectia-Client scpg3 ohnehin ausschließlich nutzt.
Für Entwicklungsteams war die Meldung auch abseits einzelner Server relevant, weil Build-Ketten und automatisierte Dienste beim Bezug von Repositorys oder Artefakten per scp Anweisungen des Servers ungeprüft verarbeiteten. Ein verwandter Fall betraf 2017 Git, Mercurial und Subversion, als präparierte SSH-URLs Befehle auf dem Zielsystem auslösen konnten. Distributoren von Arch Linux bis Ubuntu empfehlen seit Januar 2019 den Umstieg auf sftp oder die Patches des OpenSSH-Projekts.