Volgens Bleeping Computer zou een nieuw ontdekte kwetsbaarheid in de KeePass-applicatie, die een geheugendump veroorzaakt, aanvallers in staat stellen om hoofdwachtwoorden in platte tekst te achterhalen, zelfs als de database vergrendeld is of het programma gesloten is. Een patch voor deze kritieke kwetsbaarheid zal op zijn vroegst begin juni beschikbaar zijn.
Een beveiligingsonderzoeker meldde de kwetsbaarheid en publiceerde een proof-of-concept-exploit waarmee een aanvaller een geheugenscrape kan uitvoeren om het hoofdwachtwoord in platte tekst te verkrijgen, zelfs als de KeePass-database gesloten is, het programma vergrendeld is of zelfs niet geopend is. Wanneer het wachtwoord uit het geheugen wordt opgehaald, ontbreken de eerste één of twee tekens van het wachtwoord, maar de volledige reeks kan vervolgens worden geraden.
De exploit is geschreven voor Windows, maar Linux en macOS zouden ook kwetsbaar zijn omdat het probleem zich binnen KeePass bevindt en niet in het besturingssysteem. Om het wachtwoord te misbruiken, heeft een aanvaller toegang nodig tot een externe computer (verkregen via malware) of rechtstreeks op de computer van het slachtoffer.
Volgens beveiligingsexperts zijn alle KeePass 2.x-versies getroffen. KeePass 1.x, KeePassXC en Strongbox – andere wachtwoordmanagers die compatibel zijn met KeePass-databasebestanden – worden echter niet getroffen.
De oplossing zal worden opgenomen in KeePass versie 2.54, die begin juni zou kunnen verschijnen.
Nieuw beveiligingslek brengt KeePass in gevaar, omdat er nog geen patch beschikbaar is
Er is nu een instabiele bètaversie van KeePass beschikbaar met maatregelen, maar uit een rapport van Bleeping Computer blijkt dat de beveiligingsonderzoeker de wachtwoorddiefstal door het beveiligingslek niet heeft kunnen reproduceren.
Zelfs nadat KeePass is geüpgraded naar een vaste versie, kunnen wachtwoorden nog steeds worden bekeken in de geheugenbestanden van het programma. Voor volledige bescherming moeten gebruikers de computer volledig wissen door bestaande gegevens te overschrijven en vervolgens een nieuw besturingssysteem te installeren.
Deskundigen adviseren dat een goed antivirusprogramma de kans hierop minimaliseert en dat gebruikers hun KeePass-hoofdwachtwoord moeten wijzigen zodra de officiële versie beschikbaar is.
Bronlink
Reactie (0)