KeePass parola yöneticisini etkileyen ve belirli koşullar altında bir kurbanın ana parolasını şifresiz metin olarak kurtarmak için kullanılabilecek bir güvenlik açığı için bir kavram kanıtı (PoC) kullanıma sunuldu.
CVE-2023-32784 olarak izlenen sorun, Windows, Linux ve macOS için KeePass 2.x sürümlerini etkiliyor ve muhtemelen önümüzdeki ayın başlarında piyasaya sürülecek olan 2.54 sürümünde yama yapılması bekleniyor.
Açıklığı keşfeden ve bir PoC tasarlayan güvenlik araştırmacısı “vdhoney”, “İlk parola karakteri dışında, çoğunlukla parolayı düz metin olarak kurtarabiliyor” dedi. “Hedef sistemde kod yürütmeye gerek yok, sadece bir bellek dökümü.”
Araştırmacı, “Hafızanın nereden geldiği önemli değil,” diye ekledi, “çalışma alanının kilitli olup olmaması önemli değil. KeePass artık çalışmıyorsa RAM’den şifreyi boşaltmak da mümkündür. o zamandan bu yana geçen zamanla bunun işe yarama şansı azalsa da.”
Bir saldırganın potansiyel bir hedefin bilgisayarını zaten tehlikeye atmış olması koşuluyla, kusur bankalarının başarılı bir şekilde istismar edildiğini belirtmekte fayda var. Ayrıca parolanın klavyede yazılmasını ve panodan kopyalanmamasını gerektirir.
vdhoney, güvenlik açığının, ana parolayı girmek için kullanılan özel bir metin kutusu alanının kullanıcı girişini nasıl işlediğiyle ilgili olduğunu söyledi. Spesifik olarak, kullanıcının program belleğinde yazdığı her karakterin izini bıraktığı bulunmuştur.
Bu, bir saldırganın programın belleğini boşaltabileceği ve parolayı ilk karakter dışında düz metin olarak yeniden oluşturabileceği bir senaryoya yol açar. Kullanıcıların kullanıma sunulduğunda KeePass 2.54’e güncelleme yapmaları önerilir.
Sıfır Güven + Aldatma: Saldırganları Zekanızla Nasıl Alt Edeceğinizi Öğrenin!
Deception’ın gelişmiş tehditleri nasıl algılayabildiğini, yanal hareketi nasıl durdurabildiğini ve Sıfır Güven stratejinizi nasıl geliştirebildiğini keşfedin. Bilgilendirici web seminerimize katılın!
Koltuğumu Kurtar!
Açıklama, açık kaynak parola yöneticisinde, yazılımın XML yapılandırma dosyasına yazma erişiminden yararlanarak şifre veritabanından düz metin parolaları almak için potansiyel olarak yararlanılabilecek başka bir orta önem derecesindeki kusurun (CVE-2023-24055) ortaya çıkarılmasından birkaç ay sonra gelir. .
KeePass, “şifre veritabanının, yerel PC’ye bu düzeyde erişime sahip bir saldırgana karşı güvenli olması amaçlanmadığını” ileri sürmüştür.
Ayrıca, Bitwarden, Dashlane ve Safari gibi parola yöneticilerindeki bir kusuru ayrıntılarıyla açıklayan Google güvenlik araştırmasının bulgularını da takip eder.