Sicherheitslücke bei Passwortmanager KeePass entdeckt

Eine Sicherheitslücke beim Passwortmanager KeePass ermöglicht es, das Master-Passwort im Klartext abzurufen. Ein Sicherheitsupdate ist bereits in Arbeit.

(PresseBox) - Wer sich an die Regeln zu sicheren Passwörtern hält und wie empfohlen für jedes Benutzerkonto ein eigenes Passwort verwendet, braucht ein gutes Gedächtnis – oder ein Programm, das sich die vielen verschiedenen Passwörter merkt, oder sogar selbstständig generiert. Ein solcher Passwortmanager sollte angesichts der darin gespeicherten sensiblen Daten vor allem sicher und einfach zu bedienen sein. Um auf die so hinterlegten Passwörter zuzugreifen, benötigt der Nutzer lediglich ein einziges sogenanntes Master-Passwort. Doch wie bei allen Programmen können sich auch hier Fehler in den Code einschleichen, die dann zu einer Sicherheitslücke führen. Jüngstes Beispiel dafür ist der beliebte Passwortmanager KeePass.

?

Wie ein Sicherheitsforscher mit dem Pseudonym „vdohney“ berichtet, ist KeePass anfällig für das Extrahieren des Master-Passworts aus dem Speicher der Anwendung. Angreifer mit Zugriff auf ein kompromittiertes Gerät können so das Master-Passwort abrufen, selbst wenn das Programm eigentlich gesperrt und die Daten verschlüsselt sind. Seine Erkenntnisse hat vdohney in einem Proof-of-Concept-Tool veröffentlicht, in dem auch gezeigt wird, wie man vorgehen muss, um sich das Master-Passwort anzueignen.

?

Die Sicherheitslücke mit dem Kürzel CVE-2023-32784 ermöglicht die Wiederherstellung des KeePass-Master-Passworts, abgesehen von den ersten ein oder zwei Zeichen, in Klartextform, unabhängig davon, ob der KeePass-Arbeitsbereich gesperrt ist, oder möglicherweise sogar, wenn das Programm geschlossen ist. Dafür sei keine Codeausführung auf dem Zielsystem erforderlich, ein Auszug des Speichers aus dem Prozessdump, der Auslagerungsdatei (pagefile.sys), der Hibernation-Datei (hiberfil.sys) oder der RAM-Dump des gesamten Systems würden ausreichen. Da jedoch ein Zugriff auf den Speicher erfolgen muss, müssen die Angreifer entweder physischen Zugriff auf den Computer haben oder den Speicher mittels Malware-Infektion des Zielrechners auslesen.



?

Grund für die Sicherheitslücke scheint ein speziell entwickeltes Textfeld zur Passworteingabe zu sein, das Spuren von jedem Zeichen, das der Benutzer eingibt, im Speicher hinterlässt. Das Textfeld kommt nicht nur bei der Eingabe des Master-Passworts zum Einsatz, sondern auch an anderer Stelle in der App, etwa bei den Eingabefeldern für die gespeicherten Passwörter. Betroffen ist die aktuelle Version 2.53.1 von KeePass. Da es sich bei KeePass um Open-Source-Software handelt, können darüber hinaus auch andere, darauf basierende Programme anfällig für diesen Angriffsvektor sein. KeePass 1.X, KeePassXC und Strongbox scheinen hingegen nicht von CVE-2023-32784 betroffen zu sein, so der Entwickler des Passwort-Dumping-Tools.

?

Ein Softwareupdate, das die Sicherheitslücke schließt, ist noch nicht verfügbar, doch die Entwickler von KeePass arbeiten bereits daran und haben für Juli 2023 einen Patch in Aussicht gestellt. Etwas weniger lang soll es dauen, bis die nächste Version 2.54.1 von KeePass verfügbar ist. Auch hier soll die Sicherheitslücke bereits geschlossen sein. In der Zwischenzeit sollten Nutzer der App besonders vorsichtig sein.

Über die 8com GmbH & Co. KG

Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen seiner Kunden effektiv vor Cyberangriffen. Dazu vereint 8com zahlreiche Managed Security Services wie Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR) mit Incident Response und Vulnerability Management unter einem Dach. Verschiedene Penetrationstests und Security-Awareness-Leistungen runden das Angebot ab.

8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 18 Jahren ist das Ziel von 8com, Kunden bestmöglich vor Cyberangriffen zu schützen und gemeinsam ein ökonomisch sinnvolles, aber trotzdem hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.

Weitere Infos zu dieser Pressemeldung:
Unternehmensinformation / Kurzprofil:
Bereitgestellt von Benutzer: PresseBox
Datum: 24.05.2023 - 12:01 Uhr
Sprache: Deutsch
News-ID 2048191
Anzahl Zeichen: 4463

Kontakt-Informationen:
Ansprechpartner: Felicitas KrausJulia Olmscheid
Stadt:

Neustadt an der Weinstraße

Telefon: +49 (30) 30308089-14+49 6321 484460

Kategorie:

Internet-Portale

Diese Pressemitteilung wurde bisher 260 mal aufgerufen.

Schwachstellen im digitalen Tresor: Sicherheitsforscher entlarven Risiken bei Passwortmanagern ...
Wann immer man ein neues Passwort anlegen muss, steht man vor einer schwierigen Entscheidung: Etwas nehmen, das man sich auch merken kann oder ein sicheres Passwort generieren lassen, das man sich wahrscheinlich nicht merken kann. Abhilfe versprechen cloud-basierte Passwortmanager. Sie gelten gemein

Kritische Sicherheitslücke im Microsoft Configuration Manager: CISA warnt vor aktiver Ausnutzung ...
Die US-Cybersicherheitsbehörde CISA hat eine Warnung bezüglich einer kritischen Schwachstelle im Microsoft Configuration Manager (ehemals SCCM) herausgegeben. Diese als CVE-2024-43468 identifizierte Sicherheitslücke ermöglicht es Angreifern, durch das Einschleusen von bösartigen SQL-Befehlen au

Der Preis der Bequemlichkeit: Musikstreaming zwischen Massenmarkt und dem Ruf nach finanzieller Fairness ...
Die Art und Weise, wie die Gesellschaft Musik konsumiert, hat sich in der letzten Dekade radikal gewandelt. Was früher mühsam auf CDs gesammelt oder aus dem Radio aufgenommen wurde, steht heute per Knopfdruck in millionenfacher Ausführung zur Verfügung. Doch während die Nutzer von der grenzenlo

Weitere Mitteilungen von 8com GmbH&Co. KG

Das Gratis E-Book "Digitale Transformation" ...
Steinach im Mai 2023 - Die digitale Revolution hat längst begonnen und stellt Unternehmen vor neue Herausforderungen. Doch viele Firmen wissen nicht, wo sie anfangen sollen und wie sie die Digitalisierung erfolgreich meistern können. Hier kommt Nabenhauer Consulting ins Spiel. Das kostenlose E-Boo

SAS Customer Intelligence 360: Schneller und flexibler Zugang via AWS Marketplace ...
Heidelberg, 23. Mai 2023 -- SAS, einer der weltweit führenden Anbieter von Lösungen für Analytics und künstliche Intelligenz (KI), stellt seine Martech-Suite SAS Customer Intelligence 360 ab sofort über den AWS Marketplace bereit. Marketers haben damit einen unmittelbaren und unkomplizierten Zu

Mit der Online-Sicherheit von Nabenhauer Consulting kannst du sorgenfrei im Netz unterwegs sein ...
Steinach im Mai 2023 - Nabenhauer Consulting ist das Synonym für Innovation, Modernität und Trendbewusstsein. Mit ihrem neuesten Gratis Webinar "Cyberattacken" hat das Unternehmen erneut bewiesen, dass es am Puls der Zeit agiert und den Bedürfnissen seiner Kunden gerecht wird. Das Webi

ocilion erweitert B2B-Leistungsspektrum in Deutschland ...
br /> Erweiterung der ocilion TV & Streaming Plattform: Lieferung von Signalen für IPTV und nun auch DVB-C Bereitstellung von unverschlüsselten Signalen für Free-to-Air-Sender (v.a. Wohnungswirtschaft) und verschlüsselten Signalen für Free-HD- und Pay-TV-Sender Hohe Synergieeffekte und K