На вихідних інструмент керування паролями KeePass було оновлено, щоб усунути вразливість високого рівня, яка дозволила зловмисникам отримати головний пароль у відкритому вигляді.
Користувачам KeePass версії 2.x рекомендується перевести свої екземпляри до версії 2.54, щоб усунути загрозу. Ті, хто використовує KeePass 1.x, Strongbox або KeePass XC, не вразливі до недоліку, тому їм не потрібно переходити на нову версію, якщо вони цього не хочуть.
Ті, хто не може застосувати виправлення з будь-якої причини, повинні скинути свій головний пароль, видалити аварійні дампи та файли сплячого режиму, а також файли обміну, які можуть містити фрагменти головного пароля. У більш крайніх випадках вони можуть перевстановити свою операційну систему.
Залишки рядків
У середині травня було оголошено, що інструмент керування паролями вразливий до CVE-2023-32784, недоліку, який дозволив зловмисникам частково отримати головний пароль KeePass із дампа пам’яті програми. Головний пароль надходитиме відкритим текстом. Цю вразливість виявив дослідник загроз під псевдонімом «vdohney», який також опублікував доказ концепції недоліку.
Як пояснив дослідник, проблема була виявлена в SecureTextBoxEx: «Через те, як він обробляє введення, коли користувач вводить пароль, будуть залишкові рядки», — сказали вони. «Наприклад, якщо ввести «Пароль», це призведе до таких залишкових рядків: •a, ••s, •••s, ••••w, •••••o, •••••• r, ••••••••d.”
Отже, зловмисник зможе відновити майже всі символи головного пароля, навіть якщо робоча область заблокована або програма нещодавно була закрита.
Теоретично зловмисник може розгорнути інфокрадію або подібний варіант зловмисного програмного забезпечення, щоб вивести пам’ять програми та відправити її разом із базою даних менеджера паролів назад на сервер під контролем зловмисника.
Звідти вони зможуть отримати головний пароль, не витрачаючи часу. У менеджерах паролів головний пароль використовується для розшифровки та доступу до бази даних, що містить усі інші паролі.
Вулиця: BleepingComputer
English
Arabic
Belarusian
Bengali
Bosnian
Bulgarian
Chinese (Simplified)
Croatian
Czech
Danish
Dutch
English
Estonian
Filipino
Finnish
French
Georgian
German
Greek
Gujarati
Hausa
Hebrew
Hindi
Hmong
Hungarian
Igbo
Indonesian
Italian
Japanese
Javanese
Kazakh
Korean
Kurdish (Kurmanji)
Kyrgyz
Lao
Latvian
Lithuanian
Macedonian
Malagasy
Norwegian
Persian
Polish
Portuguese
Punjabi
Romanian
Russian
Serbian
Slovak
Slovenian
Spanish
Swedish
Thai
Turkish
Ukrainian
Vietnamese
Yoruba