Sicherheitslücke führt dazu, dass KeePass das Master-Passwort preisgibt

Laut Bleeping Computer könnte eine neu entdeckte Speicherabbild-Schwachstelle in der Anwendung KeePass Angreifern ermöglichen, Master-Passwörter im Klartext abzurufen, selbst wenn die Datenbank gesperrt oder das Programm geschlossen ist. Ein Patch für diese kritische Schwachstelle wird frühestens Anfang Juni verfügbar sein.

Ein Sicherheitsforscher meldete die Sicherheitslücke und veröffentlichte einen Proof-of-Concept-Exploit, der es einem Angreifer ermöglicht, durch einen Memory Scrape das Master-Passwort im Klartext abzurufen, selbst wenn die KeePass-Datenbank geschlossen, das Programm gesperrt oder gar nicht geöffnet ist. Beim Abrufen aus dem Speicher fehlen zwar die ersten ein oder zwei Zeichen des Passworts, die gesamte Zeichenfolge lässt sich dann aber erraten.

Der Exploit wurde für Windows geschrieben, aber auch Linux und macOS gelten als anfällig, da das Problem innerhalb von KeePass und nicht im Betriebssystem liegt. Um das Passwort auszunutzen, benötigt ein Angreifer Zugriff auf einen Remote-Computer (erlangt über Malware) oder direkt auf den Rechner des Opfers.

Laut Sicherheitsexperten sind alle KeePass 2.x-Versionen betroffen. Nicht betroffen sind jedoch KeePass 1.x, KeePassXC und Strongbox – andere mit KeePass-Datenbankdateien kompatible Passwortmanager.

Der Fix wird in KeePass Version 2.54 enthalten sein, die Anfang Juni veröffentlicht werden könnte.

Neue Sicherheitslücke gefährdet KeePass, da noch kein Patch verfügbar ist

Es gibt jetzt eine instabile Betaversion von KeePass mit vorhandenen Abhilfemaßnahmen, aber ein Bericht von Bleeping Computer besagt, dass es dem Sicherheitsforscher nicht gelungen ist, den Passwortdiebstahl aufgrund der Sicherheitslücke zu reproduzieren.

Auch nach dem Upgrade von KeePass auf eine verbesserte Version können Passwörter weiterhin in den Speicherdateien des Programms angezeigt werden. Für einen vollständigen Schutz müssen Benutzer den Computer vollständig löschen, indem sie vorhandene Daten überschreiben, und anschließend ein neues Betriebssystem installieren.

Experten raten, dass ein gutes Antivirenprogramm die Möglichkeit minimiert und Benutzer ihr KeePass-Masterkennwort ändern sollten, sobald die offizielle Version verfügbar ist.

Quellenlink: https://thanhnien.vn/lo-hong-bao-mat-khien-keepass-lo-mat-khau-chinh-185230522124114164.htm