漏洞信息详情

WinSCP 输入验证漏洞

• CNNVD编号：CNNVD-201404-435
• 危害等级： 中危
  
• CVE编号： CVE-2014-2735
• 漏洞类型： 输入验证
• 发布时间： 2014-04-23
• 威胁类型： 远程
• 更新时间： 2014-04-23
• 厂        商： winscp
• 漏洞来源：

漏洞简介

WinSCP是捷克布拉格经济大学所开发与维护的一套在Windows环境下使用SSH的开源图形化SFTP和FTP客户端。该客户端支持SCP、SSH等协议，其主要功能是在本地与远程计算机间安全地复制文件，并且可以直接编辑文件。

WinSCP 5.5.2及之前的版本中存在安全漏洞，该漏洞源于当使用带有TLS的FTP时，程序没有验证X.509证书的服务器主机名和域名是否匹配。攻击者可借助任意有效的证书利用该漏洞实施中间人攻击，欺骗SSL服务器。

漏洞公告

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

http://winscp.net/tracker/show_bug.cgi?id=1152

参考网址

来源:winscp.net

链接:http://winscp.net/tracker/show_bug.cgi?id=1152

来源:winscp.net

链接:http://winscp.net/eng/docs/history

来源:BUGTRAQ

名称:20140416 CVE-2014-2735 - WinSCP: missing X.509 validation

链接:http://www.securityfocus.com/archive/1/archive/1/531847/100/0/threaded

受影响实体

• Winscp Winscp:5.5  
• Winscp Winscp:5.5.2  
• Winscp Winscp:5.5.1  

补丁

• winscp553
• winscp553setup