Se ha lanzado PuTTY 0.84, una actualización que corrige varias fallas de seguridad menores. Entre los errores solucionados se encuentran problemas que podrían provocar caídas en el intercambio de claves SSH y una vulnerabilidad de suplantación de solicitudes (spoofing) en Telnet. Aunque estas vulnerabilidades se consideran de baja severidad, subrayan que cualquier fallo en la lógica de sesión o el manejo criptográfico puede ser explotado en escenarios de ataque específicos.

Se ha lanzado PuTTY 0.84 con correcciones para múltiples fallos de seguridad menores, incluyendo problemas que podrían provocar bloqueos en el intercambio de claves SSH y una vulnerabilidad de suplantación de avisos (prompt spoofing) en Telnet.

Aunque estas vulnerabilidades se consideran de severidad baja, resaltan cómo incluso pequeños fallos en el manejo criptográfico y la lógica de sesión pueden ser aprovechados en escenarios de ataque específicos, particularmente por servidores maliciosos o actores de man-in-the-middle (MITM).

Una de las correcciones clave soluciona un fallo en la verificación de firmas ECDSA que podría causar que PuTTY se bloquee durante el proceso de saludo (handshake) de SSH.

PuTTY 0.84 corrige fallos

El problema se deriva de un manejo incorrecto de la aritmética de curvas elípticas, lo que provoca que la aplicación falle al procesar puntos con la misma coordenada y.

Esta condición no es inherentemente inválida, pero una aserción en el código causaba que el cliente terminara inesperadamente. Debido a que este paso de verificación ocurre antes de que se valide la clave del host, un atacante podría proporcionar una clave y firma especialmente diseñadas para bloquear el cliente de manera fiable.

El fallo afecta a las versiones desde la 0.71 e impacta en curvas basadas en NIST como P256, P384 y P521, mientras que las curvas modernas como Ed25519 no se ven afectadas.

El resultado se limita a una condición de denegación de servicio, interrumpiendo potencialmente las sesiones o causando la pérdida de la salida de la terminal.

Otro problema resuelto en este lanzamiento implica una vulnerabilidad de doble liberación de memoria (double-free) en la implementación de PuTTY del intercambio de claves basado en RSA, definido en el RFC 4432.

Este fallo ocurre al manejar claves RSA malformadas o inesperadamente cortas durante condiciones de error. En tales casos, la aplicación libera erróneamente la misma estructura de memoria dos veces, lo que provoca un bloqueo.

Esta vulnerabilidad afecta a las versiones desde la 0.72 hasta la 0.83. Puede ser activada remotamente por un servidor malicioso que envíe intencionadamente una clave truncada.

De manera similar al problema anterior, este fallo ocurre antes de la verificación de la clave del host, lo que significa que un atacante MITM podría explotarlo.

Sin embargo, actualmente no hay evidencia de que el error pueda ser aprovechado para la ejecución de código arbitrario, limitando su impacto a la denegación de servicio.

El lanzamiento también corrige un problema sutil pero notable en las sesiones Telnet relacionado con la función "trust sigil" de PuTTY. Este marcador visual está diseñado para ayudarte a distinguir entre los avisos legítimos generados por el cliente y los avisos potencialmente maliciosos enviados por un servidor.

En versiones anteriores, cuando los usuarios se autenticaban a través de un proxy, el estado de confianza no se restablecía correctamente antes de que comenzara la sesión Telnet.

Como resultado, todos los mensajes posteriores del servidor eran tratados como confiables, lo que podría llevarte a introducir información sensible, como contraseñas de proxy.

Aunque este escenario requiere condiciones específicas y depende de protocolos heredados como Telnet, sigue representando un riesgo realista en entornos donde se utilizan dichos protocolos.

Además de estas correcciones, se abordó un problema independiente, el CVE-2026-4115, relacionado con el manejo de firmas EdDSA.

Según el mantenedor de PuTTY, Alan Coopersmith, el problema no constituye una vulnerabilidad de seguridad real, a pesar de haber recibido una designación CVE por parte de terceros.

En general, PuTTY 0.84 se centra en mejorar la robustez y eliminar vulnerabilidades de casos límite que podrían ser abusadas para causar interrupciones o engaños.

Se recomienda a los usuarios y organizaciones actualizar rápidamente, especialmente en entornos donde las herramientas de acceso remoto seguro son críticas, y evitar confiar en protocolos obsoletos como Telnet siempre que sea posible.