Si elles sont exploitées, ces failles peuvent permettre aux attaquants d'obtenir un accès non autorisé à des informations sensibles ou de causer des problèmes en général.
Des informations ont récemment été connues selon lesquelles, dans le gestionnaire de mots de passe, KeepPass, jusqu'à la version 2.53 (dans une installation par défaut) permet à un attaquant, qui dispose d'un accès en écriture au fichier de configuration XML, obtenez les mots de passe en texte brut en ajoutant un déclencheur d'exportation.
Pour ceux qui ne connaissent pas KeePass, sachez que c'est un gestionnaire de mots de passe open source très populaire qui vous permet de gérer les mots de passe à l'aide d'une base de données stockée localement, au lieu d'une base de données hébergée dans le cloud, comme LastPass ou Bitwarden.
Pour protéger ces bases de données locales, les utilisateurs peuvent les crypter avec un mot de passe principal afin qu'un malware ou un cybercriminel ne puisse pas simplement voler la base de données et accéder automatiquement aux mots de passe qui y sont stockés.
À propos de la vulnérabilité CVE-2023-24055
La vulnérabilité identifiée par CVE-2023-24055, permet à une personne avec accès en écriture au système d'une cible modifier le fichier de configuration KeePass XML et injecter un malware déclencheur qui exporterait la base de données, y compris tous les noms d'utilisateur et mots de passe en texte brut.
La position du fournisseur est que la base de données de mots de passe n'est pas conçue pour être sécurisée contre un attaquant qui a ce niveau d'accès au PC local.
La prochaine fois que la cible démarre KeePass et entrez le mot de passe principal pour ouvrir et décrypter la base de données, la règle d'exportation sera déclenchée et le contenu de la base de données sera enregistré dans un fichier que les attaquants peuvent divulguer vers un système sous leur contrôle.
Cependant, ce processus d'exportation démarre en arrière-plan sans que l'utilisateur en soit informé ou que KeePass demande la saisie du mot de passe maître comme confirmation avant l'exportation, permettant à l'attaquant d'accéder silencieusement à tous les mots de passe stockés.
tandis que Les équipes CERT des Pays-Bas et de Belgique ont également émis des avis de sécurité Concernant CVE-2023-24055, l'équipe de développement de KeePass soutient que cela ne devrait pas être classé comme une vulnérabilité car les attaquants disposant d'un accès en écriture à l'appareil d'une cible peuvent également obtenir des informations dans la base de données KeePass par d'autres moyens.
L'équipe belge du CERT suggère de mettre en œuvre une mesure d'atténuation via la fonctionnalité de configuration renforcée, « car aucun correctif ne sera disponible. Cette fonctionnalité est principalement destinée aux administrateurs réseau qui souhaitent imposer certains paramètres aux utilisateurs pour une installation KeePass, mais elle peut également être utilisée par les utilisateurs finaux pour renforcer leur configuration KeePass. Cependant, ce durcissement n'a de sens que si l'utilisateur final ne peut pas modifier ce fichier.
Et est-ce KeePass a indiqué qu'il ne publiera pas de mises à jour de sécurité pour corriger la vulnérabilité. La position du développeur est qu'une fois qu'un attaquant malveillant a accès au système d'une victime, il n'existe aucun moyen raisonnable d'empêcher le vol des données stockées.
Toutefois, KeePass offre aux administrateurs des systèmes la possibilité d'empêcher les abus en appliquant certains paramètres :
- L'application d'une configuration s'effectue au travers du fichier de configuration dit forcé
- La définition du paramètre "ExportNoKey" sur "false" garantit qu'un mot de passe principal est requis pour exporter les données enregistrées.
- Cela empêche une personne malveillante d'exporter secrètement des données sensibles.
Les paramètres du fichier de configuration forcée KeePass.config.enforced.xml ont priorité sur les paramètres des fichiers de configuration globaux et locaux. Diverses options pour renforcer votre configuration KeePass sont documentées dans le référentiel GitHub Keepass-Enhanced-Security-Configuration répertorié dans la section de référence. Par exemple, il est possible de désactiver complètement la fonction d'activation (Paramètres XPath/Application/Activation du système).
Les organisations peuvent également envisager de passer à un autre gestionnaire de mots de passe prenant en charge les coffres-forts de mots de passe KeePass.
Enfin sSi cela vous intéresse d'en savoir plus, vous pouvez vérifier les détails dans le lien suivant
et la même vulnérabilité serait pour keepassxc ?