Exploit KeePass pomaga odzyskać hasło główne w postaci zwykłego tekstu, poprawka wkrótce - OEN.PL

Kosmonauta

w Bezpieczeństwo 2023-05-20T11:41:57+02:00

Popularny menedżer haseł KeePass jest podatny na wydobycie hasła głównego z pamięci aplikacji, co pozwala atakującym, którzy złamali urządzenie, na odzyskanie hasła, nawet jeśli baza danych jest zablokowana.

Problem został odkryty przez badacza bezpieczeństwa znanego jako „vdohney”, który opublikował narzędzie do weryfikacji koncepcji, umożliwiające atakującym wyodrębnienie hasła głównego KeePass z pamięci jako dowód koncepcji (PoC).

#keepass #menedzeryhasel #exploit

OEN.PL

Komentarze (7)

mrmydlo 2023-05-20T11:42:40+02:00

To jest k⁎⁎wa skandal

Tendonin 2023-05-20T11:53:01+02:00

Nawet po opublikowaniu nowej wersji hasło główne może nadal być przechowywane w plikach pamięci

xD no to się popisali

KonoromiHimaries 2023-05-20T12:05:35+02:00

Tylko KeePassXC https://github.com/keepassxreboot/keepassxc#readme

GitHub - keepassxreboot/keepassxc: KeePassXC is a cross-platform community-driven port of the Windows application “Keepass Password Safe”.

KeePassXC is a cross-platform community-driven port of the Windows application “Keepass Password Safe”. - GitHub - keepassxreboot/keepassxc: KeePassXC is a cross-platform community-driven port of t...

GitHub

Tank1991 2023-05-20T12:05:38+02:00

keepasxc tez ma ta dziure?

Marchew 2023-05-20T12:10:22+02:00

@mrmydlo @Tendonin @blenderr

Drodzy słuchacze, tytuł i opis przytoczony na hejto to czysta manipulacja.

Tak więc aby to zrobić, należy zainfekować system wiruskiem który będzie miał ogromne uprawnienia w systemie. Ale skoro taki wirus już jest, zamiast bawić się w dumpy pamięci, łatwiej po prostu użyć keyloggera i nasłuchiwać co ofiara wstukuje w klawiaturę.... Albo wykraść hasła z przeglądarki, czy w locie ściągać hasła które wklejamy do pola "hasło" w przeglądarce czy innym programie. Z igły widły.

Poza tym, jeśli ktoś już ma pełen dostęp do naszego komputera, to nawet po załataniu "babola" przez ekipę KeePass, i tak haker wyciągnie z naszego komputera znacznie więcej danych niż hasła...

Dodam jeszcze raz na koniec. Z samego pliku bazy danych haseł, nie da się wyciągnąć hasła.

blenderr 2023-05-20T12:25:22+02:00

@Marchew Dzięki za info. Czyli mówisz, że to clickbait ?

Ogólnie wersja angielska artykułu: https://www.bleepingcomputer.com/news/security/keepass-exploit-helps-retrieve-cleartext-master-password-fix-coming-soon/

Access denied | www.bleepingcomputer.com used Cloudflare to restrict access

Bleepingcomputer

Marchew 2023-05-20T12:29:02+02:00

@blenderr Problem i luka realnie istnieją, jednak skala problemu tak naprawdę jest niewielka.

Autor vdohney, który problem odkrył i stworzył narzędzie "keepass-password-dumper" do wyciągania haseł sam napisał:

"Czy należy się martwić?

Zależy od modelu zagrożenia. Jeśli twój komputer jest już zainfekowany złośliwym oprogramowaniem, które działa w tle z uprawnieniami użytkownika, to odkrycie nie pogorszy twojej sytuacji."

źródło:

https://github.com/vdohney/keepass-password-dumper

GitHub - vdohney/keepass-password-dumper

Contribute to vdohney/keepass-password-dumper development by creating an account on GitHub.

GitHub

Zaloguj się aby komentować