Dokaz koncepta (PoC) je stavljen na raspolaganje za sigurnosni propust koji utiče na KeePass menadžer lozinki koji bi se mogao iskoristiti za vraćanje glavne lozinke žrtve u jasnom tekstu pod određenim okolnostima.
Problem, praćen kao CVE-2023-32784, utiče na KeePass verzije 2.x za Windows, Linux i macOS, a očekuje se da će biti zakrpljen u verziji 2.54, koja će vjerovatno biti objavljena početkom sljedećeg mjeseca.
“Osim prvog znaka lozinke, on je uglavnom u stanju da povrati lozinku u otvorenom tekstu” rekao je sigurnosni istraživač “vdohney”, koji je otkrio nedostatak i osmislio PoC. “Nije potrebno nikakvo izvršavanje koda na ciljanom sistemu, samo dump memorije.”
“Nije važno odakle dolazi memorija” dodao je istraživač, navodeći, “nije važno da li je radni prostor zaključan ili ne. Takođe je moguće izbaciti lozinku iz RAM-a nakon što KeePass više ne radi, iako šansa da to funkcioniše opada s vremenom koje je prošlo od tada.”
Vrijedi napomenuti da je uspješna eksploatacija banaka nedostataka pod uslovom da je napadač već kompromitovao računar potencijalne mete. Takođe zahteva da se lozinka ukuca na tastaturi, a ne da se kopira iz međuspremnika uređaja.
Nadalje, vdohney je rekao da ranjivost ima veze sa načinom na koji prilagođeno polje za tekst koje se koristi za unos glavne lozinke upravlja korisničkim unosom. Konkretno, otkriveno je da ostavlja tragove svakog karaktera koji korisnik unese u memoriju programa.
Ovo dovodi do scenarija u kojem napadač može izbaciti memoriju programa i ponovo sastaviti lozinku u otvorenom tekstu sa izuzetkom prvog znaka. Korisnicima se savjetuje da ažuriraju na KeePass 2.54 kada postane dostupan.
Otkrivanje dolazi nekoliko mjeseci nakon što je otkrivena druga greška srednje ozbiljnosti (CVE-2023-24055) u upravitelju lozinki otvorenog koda koja bi se potencijalno mogla iskoristiti za dohvatanje lozinki otvorenog teksta iz baze podataka lozinki korištenjem pristupa za pisanje u XML konfiguracijski fajl softvera.
KeePass tvrdi da “baza podataka lozinki nije namijenjena da bude sigurna od napadača koji ima taj nivo pristupa lokalnom računaru.”
Takođe slijede nalaze Google-ovog sigurnosnog istraživanja koje detaljno opisuje propust u upraviteljima lozinki kao što su Bitwarden, Dashlane i Safari, koji se mogu zloupotrijebiti za automatsko popunjavanje spremljenih kredencijala na nepouzdane web stranice, što dovodi do mogućih preuzimanja računa.