Lỗ hổng KeePass làm hỏng mật khẩu chủ

Lần thứ hai trong những tháng gần đây, một nhà nghiên cứu bảo mật đã phát hiện ra một lỗ hổng trong trình quản lý mật khẩu mã nguồn mở KeePass được sử dụng rộng rãi.

Điều này ảnh hưởng đến các phiên bản KeePass 2.X dành cho Windows, Linux và macOS, đồng thời cung cấp cho kẻ tấn công cách truy xuất mật khẩu chính của mục tiêu ở dạng văn bản rõ ràng từ kết xuất bộ nhớ — ngay cả khi không gian làm việc của người dùng bị đóng.

Mặc dù người bảo trì của KeePass đã phát triển một bản sửa lỗi cho lỗ hổng này, nhưng nó sẽ không được phổ biến rộng rãi cho đến khi phát hành phiên bản 2.54 (có thể là vào đầu tháng XNUMX). Trong khi đó, nhà nghiên cứu đã phát hiện ra lỗ hổng — được theo dõi là CVE-2023-32784 - đã sẵn sàng phát hành một bằng chứng về khái niệm cho nó trên GitHub.

“Không yêu cầu thực thi mã trên hệ thống đích, chỉ cần kết xuất bộ nhớ,” nhà nghiên cứu bảo mật “vdhoney” cho biết trên GitHub. “Không quan trọng bộ nhớ đến từ đâu — có thể là quá trình kết xuất, tệp hoán đổi (pagefile.sys), tệp ngủ đông (hiberfil.sys) hoặc kết xuất RAM của toàn bộ hệ thống.”

Nhà nghiên cứu cho biết kẻ tấn công có thể lấy lại mật khẩu chính ngay cả khi người dùng cục bộ đã khóa không gian làm việc và ngay cả sau khi KeePass không còn chạy nữa.

Vdhoney mô tả lỗ hổng này là lỗ hổng mà chỉ kẻ tấn công có quyền truy cập đọc vào hệ thống tệp của máy chủ lưu trữ hoặc RAM mới có thể khai thác. Tuy nhiên, điều đó thường không yêu cầu kẻ tấn công phải có quyền truy cập vật lý vào hệ thống. Ngày nay, những kẻ tấn công từ xa thường có được quyền truy cập như vậy thông qua khai thác lỗ hổng, tấn công lừa đảo, Trojan truy cập từ xa và các phương pháp khác.

Nhà nghiên cứu nói thêm: “Trừ khi bạn mong muốn được nhắm mục tiêu cụ thể bởi một ai đó tinh vi, tôi sẽ giữ bình tĩnh.

Vdhoney cho biết lỗ hổng này liên quan đến cách hộp tùy chỉnh KeyPass để nhập mật khẩu có tên là “SecureTextBoxEx” xử lý đầu vào của người dùng. Nhà nghiên cứu cho biết khi người dùng nhập mật khẩu, sẽ có các chuỗi còn sót lại cho phép kẻ tấn công lắp ráp lại mật khẩu ở dạng văn bản rõ ràng. “Ví dụ: khi nhập 'Mật khẩu', nó sẽ dẫn đến các chuỗi còn sót lại sau: •a, ••s, •••s, ••••w, •••••o, ••••••• r, •••••••d.”

Bản vá vào đầu tháng XNUMX

Trong một chủ đề thảo luận trên SourceForge, người bảo trì KeePass, Dominik Reichl, đã thừa nhận sự cố và cho biết ông đã triển khai hai cải tiến cho trình quản lý mật khẩu để giải quyết vấn đề.

Reichel cho biết các cải tiến sẽ được đưa vào bản phát hành KeePass tiếp theo (2.54), cùng với các tính năng liên quan đến bảo mật khác. Ban đầu, anh ấy chỉ ra rằng điều đó sẽ xảy ra vào khoảng hai tháng tới, nhưng sau đó đã sửa đổi ngày giao hàng ước tính cho phiên bản mới thành đầu tháng Sáu.

Reichl nói: “Để làm rõ, 'trong vòng hai tháng tới' có nghĩa là một giới hạn trên. “Ước tính thực tế về việc phát hành KeePass 2.54 có thể là 'vào đầu tháng 2' (tức là 3-XNUMX tuần), nhưng tôi không thể đảm bảo điều đó."

Câu hỏi về Bảo mật Trình quản lý Mật khẩu

Đối với người dùng KeePass, đây là lần thứ hai trong những tháng gần đây các nhà nghiên cứu phát hiện ra vấn đề bảo mật với phần mềm này. Vào tháng XNUMX, nhà nghiên cứu Alex Hernandez cho thấy cách một kẻ tấn công với quyền truy cập ghi vào tệp cấu hình XML của KeePass có thể chỉnh sửa nó theo cách để truy xuất mật khẩu văn bản rõ ràng từ cơ sở dữ liệu mật khẩu và âm thầm xuất nó sang máy chủ do kẻ tấn công kiểm soát.

Mặc dù lỗ hổng đã được gán một mã định danh chính thức (CVE-2023-24055), bản thân KeePass phản đối mô tả đó và duy trì trình quản lý mật khẩu không được thiết kế để chống lại các cuộc tấn công từ người nào đó đã có quyền truy cập cao trên PC cục bộ.

KeePass đã lưu ý vào thời điểm đó: “Không có trình quản lý mật khẩu nào an toàn để sử dụng khi môi trường hoạt động bị xâm phạm bởi một tác nhân độc hại. “Đối với hầu hết người dùng, cài đặt mặc định của KeePass sẽ an toàn khi chạy trên môi trường Window được vá kịp thời, được quản lý đúng cách và được sử dụng có trách nhiệm.”

Lỗ hổng KeyPass mới có thể sẽ tiếp tục duy trì các cuộc thảo luận về bảo mật của trình quản lý mật khẩu trong một thời gian nữa. Trong những tháng gần đây, có một số sự cố làm nổi bật các vấn đề bảo mật liên quan đến các công nghệ quản lý mật khẩu chính. Ví dụ, vào tháng XNUMX, LastPass tiết lộ một sự cố trong đó tác nhân đe dọa, sử dụng thông tin đăng nhập từ lần xâm nhập trước đó tại công ty, đã truy cập dữ liệu khách hàng được lưu trữ với nhà cung cấp dịch vụ đám mây bên thứ ba.

Trong tháng Một, các nhà nghiên cứu tại Google đã cảnh báo về các trình quản lý mật khẩu như Bitwarden, Dashlane và Trình quản lý mật khẩu Safari tự động điền thông tin đăng nhập của người dùng mà không có bất kỳ lời nhắc nào vào các trang không đáng tin cậy.

Trong khi đó, các tác nhân đe dọa đã tăng cường tấn công các sản phẩm quản lý mật khẩu, có thể là do những sự cố như vậy.

Trong tháng Một, Bitwarden và 1Password đã báo cáo quan sát quảng cáo trả tiền trong kết quả tìm kiếm của Google hướng người dùng đã mở quảng cáo đến các trang web để tải xuống phiên bản giả mạo của trình quản lý mật khẩu của họ.

• Phân phối nội dung và PR được hỗ trợ bởi SEO. Được khuếch đại ngay hôm nay.
• PlatoAiStream. Thông minh dữ liệu Web3. Kiến thức khuếch đại. Truy cập Tại đây.
• Đúc kết tương lai với Adryenn Ashley. Truy cập Tại đây.
• Mua và bán cổ phần trong các công ty PRE-IPO với PREIPO®. Truy cập Tại đây.
• nguồn: https://www.darkreading.com/application-security/keepass-vulnerability-imperils-master-passwords