В популярной утилите для Linux и Windows 36 лет «живет» опасная уязвимость

SCP представляет собой протокол копирования файлов между узлами сети в зашифрованном виде, использующий в качестве транспорта SSH (Secure Shell – «безопасная оболочка»). Одноименная утилита, содержащая реализацию этого протокола, часто входит в пакет OpenSSH для удаленного управления компьютерами, доступный пользователям UNIX-подобных операционных систем, в том числе GNU/Linux и семейства BSD, «из коробки». Кроме того, передача файлов в популярных утилитах Putty и WinSCP, поддерживающих Windows, также по умолчанию осуществляется при помощи SCP.

Уязвимости обнаружил специалист финской компании F-Secure Харри Синтонен(Harry Sintonen) в августе 2018 г. Благодаря одной из них, которая получила идентификатор CVE-2019-6111, злоумышленник может перезаписать файлы в целевом каталоге на машине клиента. CVE-2018-20685 разрешает удаленному серверу изменить права доступа к целевому каталогу на клиентском компьютере. CVE-2019-6109 и CVE-2019-6110 позволяют злоумышленнику видоизменять информацию, направляемую системой на клиентский терминал для сокрытия данных о загрузке файлов, которая не была санкционирована пользователем.