Bleeping Computer 에 따르면, KeePass 애플리케이션에서 새롭게 발견된 메모리 덤프 취약점을 통해 데이터베이스가 잠겨 있거나 프로그램이 종료된 경우에도 공격자가 마스터 비밀번호를 일반 텍스트로 추출할 수 있습니다. 이 심각한 취약점에 대한 패치는 빠르면 6월 초에 제공될 예정입니다.
한 보안 연구원이 이 취약점을 보고하고, KeePass 데이터베이스가 닫혀 있거나, 프로그램이 잠겨 있거나, 심지어 열려 있지 않더라도 공격자가 마스터 비밀번호를 평문으로 추출할 수 있는 개념 증명(PoC) 익스플로잇을 공개했습니다. 메모리에서 마스터 비밀번호를 검색하면 비밀번호의 처음 한두 글자는 누락되지만, 전체 문자열을 추측할 수 있습니다.
이 취약점은 Windows용으로 작성되었지만, KeePass 자체에 문제가 존재하고 운영 체제에는 존재하지 않기 때문에 Linux와 macOS에서도 취약한 것으로 알려져 있습니다. 비밀번호를 악용하려면 공격자가 원격 컴퓨터(맬웨어를 통해 획득)에 접근하거나 피해자의 컴퓨터에 직접 접근해야 합니다.
보안 전문가에 따르면 KeePass 2.x의 모든 버전이 영향을 받습니다. 하지만 KeePass 데이터베이스 파일과 호환되는 다른 비밀번호 관리자인 KeePass 1.x, KeePassXC, Strongbox는 영향을 받지 않습니다.
해당 수정 사항은 6월 초에 출시될 예정인 KeePass 버전 2.54에 포함될 예정입니다.
새로운 보안 결함으로 인해 KeePass가 위험에 처해 있습니다. 아직 패치가 제공되지 않았습니다.
현재 완화책이 적용된 불안정한 KeePass 테스트 버전이 있지만, Bleeping Computer 의 보고서에 따르면 보안 연구원은 해당 취약점을 악용한 비밀번호 도용을 재현할 수 없었다고 합니다.
하지만 KeePass를 고정 버전으로 업그레이드한 후에도 프로그램 메모리 파일에서 비밀번호가 계속 확인될 수 있습니다. 완벽한 보호를 위해서는 기존 데이터를 덮어쓰고 컴퓨터를 완전히 삭제한 후 새 운영 체제를 다시 설치해야 합니다.
전문가들은 우수한 바이러스 백신 프로그램을 사용하면 이런 가능성을 최소화할 수 있으며, 사용자는 공식 버전이 나오면 KeePass 마스터 비밀번호를 변경해야 한다고 조언합니다.
[광고_2]
소스 링크
댓글 (0)