CVE-2024-31497

In PuTTY 0.68 through 0.80 before 0.81, biased ECDSA nonce generation allows an attacker to recover a user's NIST P-521 secret key via a quick attack in approximately 60 signatures. This is especially important in a scenario where an adversary is able to read messages signed by PuTTY or Pageant. The required set of signed messages may be publicly readable because they are stored in a public Git service that supports use of SSH for commit signing, and the signatures were made by Pageant through an agent-forwarding mechanism. In other words, an adversary may already have enough signature information to compromise a victim's private key, even if there is no further use of vulnerable PuTTY versions. After a key compromise, an adversary may be able to conduct supply-chain attacks on software maintained in Git. A second, independent scenario is that the adversary is an operator of an SSH server to which the victim authenticates (for remote login or file copy), even though this server is not fully trusted by the victim, and the victim uses the same private key for SSH connections to other services operated by other entities. Here, the rogue server operator (who would otherwise have no way to determine the victim's private key) can derive the victim's private key, and then use it for unauthorized access to those other services. If the other services include Git services, then again it may be possible to conduct supply-chain attacks on software maintained in Git. This also affects, for example, FileZilla before 3.67.0, WinSCP before 6.3.3, TortoiseGit before 2.15.0.1, and TortoiseSVN through 1.14.6.

Google 翻訳による機械翻訳：

PuTTY 0.68 から 0.81 より前の 0.80 では、偏った ECDSA ノンス生成により、攻撃者は約 60 個の署名による素早い攻撃によってユーザーの NIST P-521 秘密鍵を回復できます。これは、攻撃者が PuTTY または Pageant によって署名されたメッセージを読み取ることができるシナリオでは特に重要です。必要な署名付きメッセージのセットは、コミット署名のための SSH の使用をサポートするパブリック Git サービスに保存され、署名はエージェント転送メカニズムを通じて Pageant によって作成されたため、公的に読み取り可能である可能性があります。言い換えれば、脆弱な PuTTY バージョンが今後使用されない場合でも、攻撃者は被害者の秘密鍵を侵害するのに十分な署名情報をすでに持っている可能性があります。重要な侵害の後、敵は Git で管理されているソフトウェアに対してサプライチェーン攻撃を実行できる可能性があります。 2 番目の独立したシナリオは、攻撃者が SSH サーバーのオペレーターであり、そのサーバーが被害者によって完全に信頼されておらず、被害者が同じ秘密キーを使用しているにもかかわらず、被害者が (リモートログインまたはファイルコピーのために) 認証する SSH サーバーであるというものです。他のエンティティが運営する他のサービスへの SSH 接続用。ここでは、不正なサーバーオペレータ (被害者の秘密キーを特定する方法がありません) が被害者の秘密キーを取得し、それを他のサービスへの不正アクセスに使用する可能性があります。他のサービスに Git サービスが含まれている場合、やはり Git で管理されているソフトウェアに対してサプライチェーン攻撃を実行できる可能性があります。これは、たとえば、3.67.0 より前の FileZilla、6.3.3 より前の WinSCP、2.15.0.1 より前の TortoiseGit、および 1.14.6 までの TortoiseSVN にも影響します。

PuTTY 脆弱性に関する情報（覚え書き）