セキュリティ上の欠陥によりKeePassのマスターパスワードが漏洩

[広告_1]

Bleeping Computerによると、KeePassアプリケーションに新たに発見されたメモリダンプ脆弱性により、データベースがロックされているかプログラムが終了している場合でも、攻撃者がマスターパスワードを平文で取得できる可能性があるとのことです。この重大な脆弱性に対するパッチは、早くても6月上旬まで提供されません。

セキュリティ研究者がこの脆弱性を報告し、概念実証エクスプロイトを公開しました。このエクスプロイトにより、攻撃者はKeePassデータベースが閉じられている場合、プログラムがロックされている場合、あるいは起動されていない場合でも、マスターパスワードを平文で抽出することが可能になりました。メモリからパスワードを取得すると、最初の1～2文字が欠落しますが、文字列全体を推測することが可能になります。

このエクスプロイトはWindows向けに作成されましたが、LinuxとmacOSも脆弱性を抱えていると考えられています。これは、問題がオペレーティングシステムではなくKeePass自体に存在するためです。パスワードを悪用するには、攻撃者は（マルウェアを介して）リモートコンピュータにアクセスするか、被害者のマシンに直接アクセスする必要があります。

セキュリティ専門家によると、KeePass 2.xの全バージョンが影響を受けます。ただし、KeePass 1.x、KeePassXC、Strongbox（KeePassデータベースファイルと互換性のある他のパスワードマネージャー）は影響を受けません。

この修正は、6月上旬にリリースされる可能性のあるKeePassバージョン2.54に含まれる予定です。