Dheweke ndeteksi kerentanan ing KeePass sing ngidini nyolong tembung sandhi

Informasi bubar dikenal yen ing manajer sandi, KeePass, nganti versi 2.53 (ing instalasi standar) ngidini penyerang, sing nduweni akses nulis menyang file konfigurasi XML, entuk sandhi ing teks biasa kanthi nambahake ekspor pemicu.

Kanggo sing ora ngerti KeePass, sampeyan kudu ngerti iki manajer sandi open source banget populer sing ngidini sampeyan ngatur sandhi nggunakake database sing disimpen sacara lokal, tinimbang sing di-host ing méga, kayata LastPass utawa Bitwarden.

Kanggo nglindhungi database lokal kasebut, pangguna bisa ngenkripsi nganggo sandhi master supaya malware utawa cybercriminal ora bisa mung nyolong database lan kanthi otomatis ngakses sandhi sing disimpen ing kono.

Babagan kerentanan CVE-2023-24055

Kerentanan sing diidentifikasi dening CVE-2023-24055, ngidini wong kanthi akses nulis menyang sistem target ngowahi file konfigurasi XML KeePass lan nyuntikake malware pemicu sing bakal ngekspor database, kalebu kabeh jeneng panganggo lan sandhi ing teks biasa.

Posisi vendor yaiku database sandhi ora dirancang kanggo ngamanake panyerang sing nduweni tingkat akses menyang PC lokal.

Wektu sabanjure target diwiwiti KeePass lan ketik sandhi master kanggo mbukak lan dekripsi database, aturan ekspor bakal micu lan isi database bakal disimpen menyang file sing penyerang bisa bocor menyang sistem ing kontrol.

Nanging, proses ekspor iki diwiwiti ing latar mburi tanpa pangguna diwenehi informasi utawa KeePass takon kanggo ngetik sandhi master minangka konfirmasi sadurunge ngekspor, ngidini panyerang ngakses kabeh sandhi sing disimpen kanthi meneng.

Nalika Tim CERT saka Walanda lan Belgia uga ngetokake saran keamanan Babagan CVE-2023-24055, tim pangembangan saka KeePass ujar manawa iki ora kudu diklasifikasikake minangka kerentanan amarga panyerang kanthi akses nulis menyang piranti target uga bisa njupuk informasi ing database KeePass liwat cara liya.

Tim CERT Belgia nyaranake ngetrapake langkah mitigasi liwat fitur konfigurasi hardened, "amarga ora ana patch sing kasedhiya. Fitur iki utamané dimaksudaké kanggo administrator jaringan sing pengin meksa setelan tartamtu ing pangguna kanggo instalasi KeePass, nanging uga bisa digunakake dening pangguna pungkasan kanggo harden konfigurasi KeePass. Nanging, hardening iki mung bisa ditrapake yen pangguna pungkasan ora bisa ngowahi file iki.

Lan iku KeePass wis nuduhake manawa ora bakal ngeculake nganyari keamanan kanggo ndandani kerentanan. Posisi pangembang yaiku yen panyerang angkoro nduweni akses menyang sistem korban, ora ana cara sing cukup kanggo nyegah nyolong data sing disimpen.

Nanging, KeePass nawakake administrator sistem kemampuan kanggo nyegah penyalahgunaan kanthi nggunakake setelan tartamtu:

1. Aplikasi konfigurasi ditindakake liwat file konfigurasi sing diarani paksa
2. Nyetel parameter "ExportNoKey" dadi "palsu" mesthekake yen sandhi master dibutuhake kanggo ngekspor data sing disimpen.
3. Iki ngalangi wong jahat ngekspor data sensitif kanthi rahasia.

Setelan ing file konfigurasi kepeksa KeePass.config.enforced.xml luwih diutamakake tinimbang setelan ing file konfigurasi global lan lokal. Macem-macem pilihan kanggo hardening konfigurasi KeePass didokumentasikan ing gudang GitHub Konfigurasi Keepass-Enhanced-Security-Configuration sing kadhaptar ing bagean referensi. Contone, iku bisa kanggo rampung mateni fungsi aktifitas (Setelan Xpath / Aplikasi / System Activation).

Organisasi bisa uga nimbang ngalih menyang manajer sandhi liyane sing ndhukung kubah sandi KeePass.

Pungkasane sYen sampeyan kepengin ngerti babagan iki, sampeyan bisa mriksa rincian ing link ing ngisor iki.