Через недоліки в безпеці KeePass розкриває головний пароль

Згідно з Bleeping Computer , нещодавно виявлена вразливість дампа пам'яті в додатку KeePass може дозволити зловмисникам отримувати головні паролі у звичайному тексті, навіть якщо база даних заблокована або програма закрита. Патч для цієї критичної вразливості буде доступний щонайменше до початку червня.

Дослідник з безпеки повідомив про вразливість і опублікував експлойт, що дозволяє зловмиснику виконати скребкування пам'яті, щоб отримати головний пароль у відкритому тексті, навіть якщо база даних KeePass закрита, програма заблокована або навіть не відкрита. Під час отримання пароля з пам'яті перші один або два символи пароля будуть відсутні, але тоді можна вгадати весь рядок.

Експлойт був написаний для Windows, але Linux та macOS також вважаються вразливими, оскільки проблема існує в KeePass, а не в операційній системі. Щоб скористатися паролем, зловмиснику потрібен доступ до віддаленого комп'ютера (отриманого за допомогою шкідливого програмного забезпечення) або безпосередньо до комп'ютера жертви.

За словами експертів з безпеки, це стосується всіх версій KeePass 2.x. Але KeePass 1.x, KeePassXC та Strongbox – інші менеджери паролів, сумісні з файлами бази даних KeePass – не постраждали.

Виправлення буде включено до версії KeePass 2.54, яка може вийти на початку червня.

Lỗ hổng bảo mật khiến KeePass lộ mật khẩu chính không bị mã hóa - Ảnh 1. — Новий недолік безпеки ставить KeePass під загрозу, оскільки патч ще не доступний

Зараз існує нестабільна бета-версія KeePass із застосунками для пом'якшення наслідків, але, згідно зі звітом Bleeping Computer, дослідник безпеки не зміг відтворити крадіжку пароля з цієї вразливості.

Однак, навіть після оновлення KeePass до фіксованої версії, паролі все ще можна переглядати у файлах пам'яті програми. Для повного захисту користувачам потрібно буде повністю очистити комп'ютер, перезаписавши існуючі дані, а потім перевстановити нову операційну систему.

Експерти радять, що хороша антивірусна програма мінімізує цю ймовірність, і користувачам слід змінити свій головний пароль KeePass, як тільки стане доступна офіційна версія.

Посилання на джерело