Недавно обнаруженный недостаток безопасности, воздействующий на менеджер паролей KeePass, был выпущен в качестве доказательства концепции (PoC). Эта уязвимость, отслеживаемая как CVE-2023-32784, затрагивает версии KeePass 2.x для Windows, Linux и macOS, и может быть использована для восстановления мастер-пароля жертвы в исходном тексте при определенных условиях. Ожидается, что новая версия 2.54 устранит проблему. Согласно исследователю безопасности “vdhoney”, который обнаружил этот недостаток и создал PoC, уязвимость связана с тем, как пользовательский текстовый поле, используемое для ввода мастер-пароля, обрабатывает ввод пользователя. Было обнаружено, что он оставляет следы каждого символа, который пользователь вводит в память программы, что позволяет злоумышленнику сбросить память программы и собрать пароль в исходном тексте за исключением первого символа. Для эксплуатации уязвимости злоумышленнику необходимо уже скомпрометировать компьютер потенциальной цели, и пароль должен быть введен с клавиатуры, а не скопирован из буфера обмена. Пользователям рекомендуется обновиться до KeePass 2.54, как только он станет доступным. Это следует из выводов исследований безопасности Google, которые описывали дефект в менеджерах паролей, таких как Bitwarden, Dashlane и Safari, который может быть использован для автоматического заполнения сохраненных учетных данных на ненадежные веб-страницы, что может привести к возможному захвату учетной записи.
Source: Hackernews
Чтобы смягчить эти потенциальные угрозы, важно внедрить дополнительные меры кибербезопасности с помощью надежного партнера, такого как INFRA www.infrascan.net, или вы можете попробовать сделать это самостоятельно, используя check.website.