ช่องโหว่ KeePass ทำให้รหัสผ่านมาสเตอร์เสียหาย

เป็นครั้งที่สองในช่วงหลายเดือนที่ผ่านมาที่นักวิจัยด้านความปลอดภัยได้ค้นพบช่องโหว่ในตัวจัดการรหัสผ่านโอเพ่นซอร์ส KeePass ที่ใช้กันอย่างแพร่หลาย

สิ่งนี้มีผลกับ KeePass เวอร์ชัน 2.X สำหรับ Windows, Linux และ macOS และทำให้ผู้โจมตีสามารถกู้คืนรหัสผ่านหลักของเป้าหมายในรูปแบบข้อความที่ชัดเจนจากการถ่ายโอนข้อมูลหน่วยความจำ แม้ว่าพื้นที่ทำงานของผู้ใช้จะปิดอยู่ก็ตาม

แม้ว่าผู้ดูแลของ KeePass ได้พัฒนาการแก้ไขข้อบกพร่องแล้ว แต่โดยทั่วไปแล้วจะไม่สามารถใช้งานได้จนกว่าจะมีการเปิดตัวเวอร์ชัน 2.54 (น่าจะเป็นช่วงต้นเดือนมิถุนายน) ในขณะเดียวกัน นักวิจัยที่ค้นพบช่องโหว่ — ติดตามเป็น CVE-2023-32784 - มีแล้ว เปิดตัวการพิสูจน์แนวคิด สำหรับมันบน GitHub

“ไม่จำเป็นต้องเรียกใช้โค้ดบนระบบเป้าหมาย เพียงแค่ดัมพ์หน่วยความจำ” นักวิจัยด้านความปลอดภัย “vdhoney” กล่าวบน GitHub “ไม่สำคัญว่าหน่วยความจำจะมาจากไหน — อาจเป็นกระบวนการดัมพ์ ไฟล์สลับ (pagefile.sys) ไฟล์ไฮเบอร์เนต (hiberfil.sys) หรือการถ่ายโอนข้อมูล RAM ของทั้งระบบ”

ผู้โจมตีสามารถกู้คืนรหัสผ่านหลักได้แม้ว่าผู้ใช้ในเครื่องจะล็อกพื้นที่ทำงานไว้ และแม้ว่า KeePass จะไม่ทำงานอีกต่อไปก็ตาม นักวิจัยกล่าว

Vdhoney อธิบายว่าเป็นช่องโหว่ที่มีเพียงผู้โจมตีที่มีสิทธิ์อ่านระบบไฟล์หรือ RAM ของโฮสต์เท่านั้นที่จะสามารถโจมตีได้ อย่างไรก็ตาม บ่อยครั้งที่ผู้โจมตีไม่ต้องการให้เข้าถึงระบบได้ ผู้โจมตีจากระยะไกลได้รับการเข้าถึงดังกล่าวเป็นประจำในทุกวันนี้ผ่านการหาช่องโหว่ การโจมตีแบบฟิชชิง โทรจันการเข้าถึงระยะไกล และวิธีการอื่นๆ

“เว้นแต่คุณจะคาดหมายว่าจะถูกเจาะจงโดยใครบางคนที่มีความซับซ้อน ฉันจะใจเย็นๆ ไว้” นักวิจัยกล่าวเสริม

Vdhoney กล่าวว่าช่องโหว่ดังกล่าวเกี่ยวข้องกับวิธีการที่กล่องแบบกำหนดเองของ KeyPass สำหรับป้อนรหัสผ่านที่เรียกว่า “SecureTextBoxEx” ประมวลผลอินพุตของผู้ใช้ เมื่อผู้ใช้พิมพ์รหัสผ่าน จะมีสตริงที่เหลือซึ่งอนุญาตให้ผู้โจมตีรวบรวมรหัสผ่านใหม่ในรูปแบบข้อความที่ชัดเจน นักวิจัยกล่าว “ตัวอย่างเช่น เมื่อพิมพ์ 'รหัสผ่าน' จะทำให้เกิดสตริงที่เหลือ: •a, ••s, •••s, ••••w, •••••o, •••••• r, •••••••ง.”

แพทช์ต้นเดือนมิถุนายน

ใน หัวข้อสนทนาเกี่ยวกับ SourceForgeDominik Reichl ผู้ดูแล KeePass รับทราบปัญหาและกล่าวว่าเขาได้ใช้การปรับปรุงสองครั้งกับผู้จัดการรหัสผ่านเพื่อแก้ไขปัญหา

การปรับปรุงจะรวมอยู่ใน KeePass รุ่นถัดไป (2.54) พร้อมกับคุณสมบัติที่เกี่ยวข้องกับความปลอดภัยอื่น ๆ Reichel กล่าว ในตอนแรกเขาระบุว่าจะเกิดขึ้นในช่วงสองเดือนข้างหน้า แต่ภายหลังได้แก้ไขวันที่จัดส่งโดยประมาณสำหรับเวอร์ชันใหม่เป็นต้นเดือนมิถุนายน

“เพื่อความชัดเจน 'ภายในสองเดือนข้างหน้า' มีความหมายว่าเป็นขอบเขตบน” Reichl กล่าว “การประมาณการที่เป็นจริงสำหรับการเปิดตัว KeePass 2.54 น่าจะเป็น 'ต้นเดือนมิถุนายน' (เช่น 2-3 สัปดาห์) แต่ฉันไม่สามารถรับประกันได้”

คำถามเกี่ยวกับความปลอดภัยของตัวจัดการรหัสผ่าน

สำหรับผู้ใช้ KeePass นี่เป็นครั้งที่สองในช่วงหลายเดือนที่ผ่านมาที่นักวิจัยได้ค้นพบปัญหาด้านความปลอดภัยของซอฟต์แวร์ ในเดือนกุมภาพันธ์ นักวิจัย Alex Hernandez แสดงให้เห็นว่าผู้โจมตีเป็นอย่างไร ด้วยสิทธิ์ในการเขียนไฟล์การกำหนดค่า XML ของ KeePass สามารถแก้ไขในลักษณะที่จะดึงรหัสผ่านข้อความที่ชัดเจนจากฐานข้อมูลรหัสผ่านและส่งออกอย่างเงียบ ๆ ไปยังเซิร์ฟเวอร์ที่ควบคุมโดยผู้โจมตี

แม้ว่าช่องโหว่จะได้รับการระบุอย่างเป็นทางการ (CVE-2023-24055), KeePass นั่นเอง โต้แย้งคำอธิบายนั้น และการดูแลรักษา ตัวจัดการรหัสผ่านไม่ได้ออกแบบมาเพื่อต้านทานการโจมตีจากบุคคลที่มีระดับการเข้าถึงสูงอยู่แล้วบนพีซีในระบบ

“ไม่มีเครื่องมือจัดการรหัสผ่านใดที่ปลอดภัยที่จะใช้เมื่อสภาพแวดล้อมการทำงานถูกบุกรุกโดยผู้ประสงค์ร้าย” KeePass ได้กล่าวไว้ในตอนนั้น “สำหรับผู้ใช้ส่วนใหญ่ การติดตั้งเริ่มต้นของ KeePass จะปลอดภัยเมื่อรันบนสภาพแวดล้อม Window ที่มีแพตช์ตรงเวลา มีการจัดการอย่างเหมาะสม และใช้อย่างมีความรับผิดชอบ”

ช่องโหว่ KeyPass ใหม่มีแนวโน้มที่จะทำให้การอภิปรายเกี่ยวกับความปลอดภัยของผู้จัดการรหัสผ่านยังคงอยู่ไปอีกระยะหนึ่ง ในช่วงหลายเดือนที่ผ่านมา มีหลายเหตุการณ์ที่เน้นปัญหาด้านความปลอดภัยที่เกี่ยวข้องกับเทคโนโลยีตัวจัดการรหัสผ่านหลัก ในเดือนธันวาคม เช่น LastPass เปิดเผยเหตุการณ์ เมื่อผู้ก่อภัยคุกคามใช้ข้อมูลประจำตัวจากการบุกรุกที่บริษัทครั้งก่อน เข้าถึงข้อมูลลูกค้าที่จัดเก็บไว้กับผู้ให้บริการระบบคลาวด์บุคคลที่สาม

ในเดือนมกราคม นักวิจัยที่ Google เตือนเกี่ยวกับตัวจัดการรหัสผ่านเช่น Bitwarden, Dashlane และ Safari Password Manager ที่กรอกข้อมูลรับรองผู้ใช้โดยอัตโนมัติโดยไม่มีการแจ้งไปยังหน้าที่ไม่น่าเชื่อถือ

ในขณะเดียวกัน ผู้คุกคามได้เพิ่มการโจมตีผลิตภัณฑ์ตัวจัดการรหัสผ่าน ซึ่งน่าจะเป็นผลจากปัญหาดังกล่าว

ในเดือนมกราคม Bitwarden และ 1Password รายงานการสังเกตการณ์ โฆษณาแบบชำระเงินในผลการค้นหาของ Google ที่นำผู้ใช้ที่เปิดโฆษณาไปยังไซต์เพื่อดาวน์โหลดตัวจัดการรหัสผ่านเวอร์ชันปลอม

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• เพลโตไอสตรีม. ข้อมูลอัจฉริยะ Web3 ขยายความรู้ เข้าถึงได้ที่นี่.
• การสร้างอนาคตโดย Adryenn Ashley เข้าถึงได้ที่นี่.
• ซื้อและขายหุ้นในบริษัท PRE-IPO ด้วย PREIPO® เข้าถึงได้ที่นี่.
• ที่มา: https://www.darkreading.com/application-security/keepass-vulnerability-imperils-master-passwords