「PuTTYに任意のコードを実行するセキュリティホール」記事へのコメント

WinSCPは大丈夫？

[Anonymous Coward]

Puttyを組み込んでいる(?)WinSCPは問題あるの？
どうなの？

Re:WinSCPは大丈夫？

[Anonymous Coward]

prikryl曰く（超訳） [sourceforge.net]

"PuTTYに脆弱性があったってのはわかったけど、それでどの部分に修正が入ったのかが解らないんだよね。GUIの部分だったら共有してないから影響ないと思うんだけど。"

いや、タレコミのCoreLabs Advisory CORE-2004-0705 [corest.com]にある通り、

The vulnerabilities were triggered by modifying the implementation of OpenSSH 3.8.1p1, specifically by modifying the following functions:

packet_put_int
packet_put_string
packet_put_cstring
packet_put_raw
packet_put_bignum
packet_put_bignum2

to send specially crafted packets to the SSH client.

なので、共有部分になるんじゃないかなぁ、、、
＃両方ともソースまでは見ないでの推測。

Re:WinSCPは大丈夫？

[mimir (23350)]

prikrylから返事(超訳） [sourceforge.net]来ました。

リンクの紹介ありがとう。PSFTPも同じコードを共有しているはずだから脆弱性があるはずなんだけど、なんでPSCPとPuTTYだけを対象としているのか解らないな。でも多分WinSCPも関係ありそう。出来れば明日にでもパッチをリリースするようにします。

prikrylの迅速な対応に感謝

Re:WinSCPは大丈夫？

[Anonymous Coward]

というわけで、WinSCPもupdate [sourceforge.net]来ました。
Announceを見ると、情報を確認してからわずか1時間半でupdateしてくれたようです。
prikrylの迅速な対応に再度感謝。

Re:WinSCPは大丈夫？

[high (3216)]

そのリンク，farプラグインのupdate告知だよ．
WinSCP自体は作業中，と読めますが？

Re:WinSCPは大丈夫？

[Anonymous Coward]

その通りですね。
投稿してから気付いたので、本体のupdateが出たら訂正しようと思っていたのですが、今現在も出ていない模様です。
＃ということで、出たらまた書きます。

Re:WinSCPは大丈夫？

[high (3216)]

WinSCP 3.6.7，英語版のみだけど，出ました．
August 9th 2004 - New version 3.6.7
* SSH core upgraded to PuTTY 0.55. It fixes vulnerability CORE-2004-0705.

Re:WinSCPは大丈夫？

[high (3216)]

WinSCP3.6.7日本語用言語ファイルも公開されてるみたい(jp.zip)．
http://winscp.sourceforge.net/download2.php?source=translations%2Fdll&file=jp.zip
適用手順とか
http://www.st.ryukoku.ac.jp/%7Ekjm/security/memo/2004/08.html#20040804_PuTTY