KeePass-sårbarhet setter hovedpassord i fare

For andre gang de siste månedene har en sikkerhetsforsker oppdaget en sårbarhet i den mye brukte KeePass-passordbehandleren med åpen kildekode.

Denne påvirker KeePass 2.X-versjoner for Windows, Linux og macOS, og gir angripere en måte å hente et måls hovedpassord i klartekst fra en minnedump – selv når brukerens arbeidsområde er lukket.

Mens KeePass' vedlikeholder har utviklet en løsning for feilen, vil den ikke bli allment tilgjengelig før utgivelsen av versjon 2.54 (sannsynligvis tidlig i juni). I mellomtiden har forskeren som oppdaget sårbarheten — sporet som CVE-2023-32784 - har allerede utgitt et proof-of-concept for det på GitHub.

"Ingen kodekjøring på målsystemet er nødvendig, bare en minnedump," sa sikkerhetsforskeren "vdhoney" på GitHub. "Det spiller ingen rolle hvor minnet kommer fra - kan være prosessdumpen, byttefilen (pagefile.sys), dvalefilen (hiberfil.sys) eller RAM-dumpen for hele systemet."

En angriper kan hente hovedpassordet selv om den lokale brukeren har låst arbeidsområdet og selv etter at KeePass ikke lenger kjører, sa forskeren.

Vdhoney beskrev sårbarheten som en som bare en angriper med lesetilgang til vertens filsystem eller RAM ville kunne utnytte. Ofte krever det imidlertid ikke at en angriper har fysisk tilgang til et system. Eksterne angripere får rutinemessig slik tilgang i disse dager via sårbarhetsutnyttelse, phishing-angrep, fjerntilgangstrojanere og andre metoder.

"Med mindre du forventer å bli spesifikt målrettet av noen sofistikerte, ville jeg holdt meg rolig," la forskeren til.

Vdhoney sa at sårbarheten hadde å gjøre med hvordan en KeyPass tilpasset boks for å skrive inn passord kalt "SecureTextBoxEx" behandler brukerinndata. Når brukeren skriver inn et passord, er det rester av strenger som lar en angriper sette sammen passordet på nytt i klartekst, sa forskeren. «For eksempel, når 'Passord' skrives, vil det resultere i disse gjenværende strengene: •a, ••s, •••s, ••••w, •••••o, •••••• r, •••••••d."

Oppdatering i begynnelsen av juni

I en diskusjonstråd på SourceForge, erkjente KeePass-vedlikeholder Dominik Reichl problemet og sa at han hadde implementert to forbedringer av passordbehandleren for å løse problemet.

Forbedringene vil bli inkludert i neste KeePass-utgivelse (2.54), sammen med andre sikkerhetsrelaterte funksjoner, sa Reichel. Han indikerte først at det ville skje en gang i løpet av de neste to månedene, men reviderte senere estimert leveringsdato for den nye versjonen til begynnelsen av juni.

"For å presisere, 'innen de neste to månedene' var ment som en øvre grense," sa Reichl. "Et realistisk estimat for KeePass 2.54-utgivelsen er sannsynligvis 'i begynnelsen av juni' (dvs. 2-3 uker), men jeg kan ikke garantere det."

Spørsmål om Password Manager-sikkerhet

For KeePass-brukere er dette andre gang de siste månedene at forskere har avdekket et sikkerhetsproblem med programvaren. I februar forsker Alex Hernandez viste hvordan en angriper med skrivetilgang til KeePass sin XML-konfigurasjonsfil kunne redigere den på en måte som å hente klartekstpassord fra passorddatabasen og eksportere den stille til en angriperkontrollert server.

Selv om sårbarheten ble tildelt en formell identifikator (CVE-2023-24055), KeepPass selv bestred den beskrivelsen og vedlikeholdt passordbehandleren er ikke designet for å motstå angrep fra noen som allerede har et høyt tilgangsnivå på en lokal PC.

"Ingen passordbehandler er trygg å bruke når driftsmiljøet er kompromittert av en ondsinnet aktør," sa KeePass den gang. "For de fleste brukere er en standardinstallasjon av KeePass trygg når den kjøres i et tidsriktig oppdatering, riktig administrert og ansvarlig brukt Window-miljø."

Det nye KeyPass-sårbarheten vil sannsynligvis holde liv i diskusjonene rundt passordbehandlersikkerhet i en stund til. De siste månedene har det vært flere hendelser som har fremhevet sikkerhetsproblemer knyttet til store passordbehandlingsteknologier. I desember, for eksempel, LastPass avslørte en hendelse der en trusselaktør, ved hjelp av legitimasjon fra et tidligere inntrenging i selskapet, fikk tilgang til kundedata lagret hos en tredjeparts skytjenesteleverandør.

I januar, forskere ved Google advart om passordbehandlere som Bitwarden, Dashlane og Safari Password Manager som automatisk fyller ut brukerlegitimasjon uten å spørre inn uklarerte sider.

Trusselaktører har i mellomtiden økt angrep mot passordbehandlingsprodukter, sannsynligvis som et resultat av slike problemer.

I januar, Bitwarden og 1Password rapporterte observasjon betalte annonser i Googles søkeresultater som ledet brukere som åpnet annonsene til nettsteder for å laste ned falske versjoner av passordbehandlerne deres.

• SEO-drevet innhold og PR-distribusjon. Bli forsterket i dag.
• PlatoAiStream. Web3 Data Intelligence. Kunnskap forsterket. Tilgang her.
• Minting the Future med Adryenn Ashley. Tilgang her.
• Kjøp og selg aksjer i PRE-IPO-selskaper med PREIPO®. Tilgang her.
• kilde: https://www.darkreading.com/application-security/keepass-vulnerability-imperils-master-passwords