KeePass 취약점으로 인해 마스터 암호가 위험해짐

최근 몇 달 동안 한 보안 연구원이 널리 사용되는 KeePass 오픈 소스 암호 관리자에서 취약점을 두 번째로 발견했습니다.

이것은 Windows, Linux 및 macOS용 KeePass 2.X 버전에 영향을 미치며 공격자가 사용자의 작업 공간이 닫힌 경우에도 메모리 덤프에서 일반 텍스트로 대상의 마스터 암호를 검색할 수 있는 방법을 제공합니다.

KeePass의 관리자가 결함에 대한 수정 사항을 개발했지만 버전 2.54(아마도 XNUMX월 초)가 출시될 때까지 일반적으로 사용할 수 없습니다. 한편, 취약점을 발견한 연구원은 다음과 같이 추적되었습니다. CVE-2023-32784 — 이미 개념 증명을 발표했습니다. GitHub에서 확인하세요.

보안 연구원인 "vdhoney"는 GitHub에서 "대상 시스템에서 코드 실행이 필요하지 않으며 메모리 덤프만 필요합니다."라고 밝혔습니다. "메모리의 출처는 중요하지 않습니다. 프로세스 덤프, 스왑 파일(pagefile.sys), 최대 절전 모드 파일(hiberfil.sys) 또는 전체 시스템의 RAM 덤프일 수 있습니다."

공격자는 로컬 사용자가 작업 공간을 잠근 경우와 KeePass가 더 이상 실행되지 않는 경우에도 마스터 암호를 검색할 수 있다고 연구원은 말했습니다.

Vdhoney는 이 취약점을 호스트의 파일 시스템이나 RAM에 대한 읽기 액세스 권한이 있는 공격자만 악용할 수 있는 취약점이라고 설명했습니다. 그러나 공격자가 시스템에 물리적으로 액세스할 필요가 없는 경우가 많습니다. 오늘날 원격 공격자는 취약성 악용, 피싱 공격, 원격 액세스 트로이 목마 및 기타 방법을 통해 일상적으로 이러한 액세스 권한을 얻습니다.

연구원은 "교묘한 사람이 구체적으로 목표로 삼을 것으로 예상되지 않는 한 침착할 것"이라고 덧붙였다.

Vdhoney는 이 취약점이 "SecureTextBoxEx"라는 암호를 입력하기 위한 KeyPass 사용자 지정 상자가 사용자 입력을 처리하는 방식과 관련이 있다고 말했습니다. 사용자가 암호를 입력하면 공격자가 일반 텍스트로 암호를 재조립할 수 있는 남은 문자열이 있다고 연구원은 말했습니다. “예를 들어 '암호'를 입력하면 다음과 같은 문자열이 남게 됩니다. •a, ••s, •••s, ••••w, •••••o, •••••• r, ••••••••d.”

XNUMX월 초 패치

안에 SourceForge의 토론 스레드, KeePass 관리자인 Dominik Reichl은 이 문제를 인정하고 이 문제를 해결하기 위해 비밀번호 관리자에 두 가지 개선 사항을 구현했다고 말했습니다.

향상된 기능은 다른 보안 관련 기능과 함께 다음 KeePass 릴리스(2.54)에 포함될 것이라고 Reichel은 말했습니다. 그는 처음에 다음 두 달 안에 언젠가 일어날 것이라고 말했지만 나중에 새 버전의 예상 배송 날짜를 XNUMX월 초로 수정했습니다.

Reichl은 "명백히 하기 위해 '향후 2.54개월 이내'는 상한선을 의미했습니다."라고 말했습니다. "KeePass 2 출시에 대한 현실적인 추정치는 아마도 '3월 초'(예: XNUMX-XNUMX주)일 것입니다. 하지만 제가 장담할 수는 없습니다."

Password Manager 보안에 대한 질문

KeePass 사용자의 경우 연구원들이 소프트웨어의 보안 문제를 발견한 것은 최근 몇 달 동안 두 번째입니다. XNUMX월에 연구원 Alex Hernandez는 공격자가 어떻게 KeePass의 XML 구성 파일에 대한 쓰기 액세스 권한이 있는 사용자는 암호 데이터베이스에서 일반 텍스트 암호를 검색하고 공격자가 제어하는 ​​서버로 자동으로 내보내는 방식으로 이를 편집할 수 있습니다.

취약점에 정식 식별자(CVE-2023-24055), KePass 자체 그 설명에 이의를 제기했습니다. 암호 관리자는 로컬 PC에서 이미 높은 수준의 액세스 권한을 가진 사람의 공격을 견디도록 설계되지 않았습니다.

KeePass는 당시 "운영 환경이 악의적인 행위자에 의해 손상되었을 때 사용하기에 안전한 암호 관리자는 없습니다."라고 언급했습니다. "대부분의 사용자에게 KeePass의 기본 설치는 적시에 패치되고 적절하게 관리되며 책임감 있게 사용되는 Windows 환경에서 실행될 때 안전합니다."

새로운 KeyPass 취약점은 암호 관리자 보안에 대한 논의를 한동안 계속할 가능성이 높습니다. 최근 몇 달 동안 주요 암호 관리자 기술과 관련된 보안 문제를 강조한 몇 가지 사건이 있었습니다. 예를 들어 XNUMX월에는 LastPass가 사건을 공개했습니다 여기서 위협 행위자는 이전 회사 침입의 자격 증명을 사용하여 타사 클라우드 서비스 제공업체에 저장된 고객 데이터에 액세스했습니다.

1 월, Google 연구원 Bitwarden, Dashlane 및 Safari Password Manager와 같은 암호 관리자가 신뢰할 수 없는 페이지에 대한 프롬프트 없이 사용자 자격 증명을 자동으로 채우는 것에 대해 경고했습니다.

한편 위협 행위자는 이러한 문제의 결과로 암호 관리자 제품에 대한 공격을 강화했습니다.

1 월, Bitwarden과 1Password는 관찰했다고 보고했습니다. 비밀번호 관리자의 스푸핑 버전을 다운로드할 수 있는 사이트로 광고를 연 사용자를 안내하는 Google 검색 결과의 유료 광고.

• SEO 기반 콘텐츠 및 PR 배포. 오늘 증폭하십시오.
• PlatoAiStream. Web3 데이터 인텔리전스. 지식 증폭. 여기에서 액세스하십시오.
• 미래 만들기 w Adryenn Ashley. 여기에서 액세스하십시오.
• PREIPO®로 PRE-IPO 회사의 주식을 사고 팔 수 있습니다. 여기에서 액세스하십시오.
• 출처: https://www.darkreading.com/application-security/keepass-vulnerability-imperils-master-passwords