Jakub jelen (un ingénieur de sécurité Red Hat) a suggéré que le protocole SCP soit classé comme obsolète pour procéder plus tard à son élimination. Car SCP est conceptuellement proche de RCP et hérite de problèmes d'architecture fondamentaux qui sont à l'origine de vulnérabilités potentielles.
En particulier, dans SCP et RCP, le serveur accepte la décision concernant les fichiers et répertoires à envoyer au client, et le client suit les instructions du serveur et vérifie uniquement l'exactitude des noms d'objet renvoyés.
En se connectant à un serveur contrôlé par un attaquant, le serveur peut livrer d'autres fichiers, ce qui a conduit à plusieurs reprises à l'identification de vulnérabilités.
Par exemple, jusqu'à récemment, le client ne vérifiait que le répertoire courant, mais ne prenait pas en compte le fait que le serveur pouvait émettre un fichier avec un nom différent et écraser les fichiers qui n'étaient pas demandés (par exemple, au lieu du "test.txt" demandé, le serveur peut envoyer un fichier appelé ». bashrc« et il sera écrit par le client).
Dans l'article, publié par Jakub Jelen, vous pouvez lire ce qui suit:
Bonjour les utilisateurs de Fedora! Ces dernières années, il y a eu plusieurs problèmes dans le protocole SCP, ce qui nous a conduit à des discussions pour savoir si nous pouvons nous en débarrasser dans les phases initiales.
La plupart des voix ont dit qu'elles utilisent SCP principalement pour de simples copies ad hoc et parce que l'utilitaire sftp ne fournit pas une interface simple pour copier un ou deux fichiers d'un côté à l'autre et parce que les gens ne servent qu'à écrire scp au lieu sftp.
Un autre problème avec le protocole SCP est la fonction de traitement des arguments.
Puisqu'il est mentionné que lors de la copie de fichiers sur un serveur externe, le chemin du fichier est ajouté à la fin de la commande scp local, par exemple, lorsque vous exécutez la commande «scp / sourcefile remoteserver: 'touch / tmp / exploit.sh` / targetfile'» sur le serveur, la commande »touch / tmp / exploit.sh» et le fichier / tmp était créé /exploit.sh, il est donc important d'utiliser des caractères d'échappement corrects dans scp.
Lorsque scp est utilisé pour passer récursivement le contenu des répertoires (l'option "-r") dans les systèmes de fichiers qui acceptent le caractère '`' dans les noms de fichiers, un attaquant peut créer un fichier avec des apostrophes et en faire le code à exécuter.
Dans OpenSSH, ce problème reste non corrigé, car il est difficile de le réparer sans casser la compatibilité descendante, par exemple exécuter des commandes pour vérifier si un répertoire existe avant de le copier.
Les discussions précédentes ont montré que scp est généralement utilisé pour copier des fichiers d'un système à un autre.
Toutefois, beaucoup de gens utilisent scp au lieu de sftp en raison d'une interface plus simple et évidente pour copier des fichiers, ou tout simplement par habitude. Jakub suggère d'utiliser l'implémentation par défaut de l'utilitaire scp, convertie pour utiliser le protocole SFTP (dans certains cas particuliers, l'utilitaire fournit l'option "-M scp" pour revenir au protocole SCP), ou d'ajouter un mode de compatibilité à l'utilitaire sftp qui vous permet d'utiliser sftp en remplacement transparent de scp.
Il y a quelques mois, j'ai écrit un correctif pour scp afin d'utiliser SFTP en interne (avec la possibilité de le modifier en utilisant -M scp) et l'ai exécuté avec succès dans certains tests.
Les commentaires globaux en amont ont également été assez positifs, alors j'aimerais également entendre nos utilisateurs. Il a encore quelques limitations (le support est absent, il ne fonctionnera pas si le serveur n'exécute pas le sous-système sftp,…), mais il devrait être assez bon pour les cas d'utilisation les plus courants.
Entre les limitations de l'approche proposée, l'impossibilité d'échanger des données avec des serveurs qui ne démarrent pas le sous-système sftp est mentionnée, et l'absence de mode de transfert entre deux hôtes externes avec transit par l'hôte local (mode "-3"). Certains utilisateurs notent également que SFTP est légèrement en retard sur SCP en termes de bande passante, ce qui devient plus perceptible sur les mauvaises connexions avec une latence élevée.
Pour les tests, un autre package openssh a déjà été placé dans le référentiel copr, le corrigeant avec l'implémentation de l'utilitaire scp sur le protocole SFTP.
source: https://lists.fedoraproject.org/