Keepass, CLEE-Metin Ana Parolasının uygulamanın belleğinden çıkarılmasını sağlayan CVE-2023-32784 güvenlik açığını düzelterek 2.54 sürümünü yayınladı.
Yeni bir Keepass şifre yöneticisi veritabanı oluştururken, kullanıcıların veritabanını şifrelemek için kullanılan bir ana şifre oluşturmaları gerekir. Gelecekte veritabanını açarken, kullanıcıların şifresini çözmek ve içinde depolanan kimlik bilgilerine erişmek için bu ana anahtarı girmeleri gerekmektedir.
Bununla birlikte, Mayıs 2023'te, güvenlik araştırmacısı 'Vdohney', uygulamanın bir bellek dökümünden Clear metin Keeppass ana şifresini kısmen çıkarmanıza izin veren bir güvenlik açığı ve kavram kanıtı açıkladı.
"Sorun SecureTextboxex ile ilgilidir. Giriş işleme şekli nedeniyle, kullanıcı şifreyi yazdığında artık teller olacaktır."
"Örneğin," şifre "yazıldığında, bu artık dizelerle sonuçlanır: • A, •• S, ••• S, •••• W, ••••• O, •••••• r, ••••••• d. "
Bu tampon, Keepass çalışma alanı kilitli veya program kapatılmış olsa bile, kullanıcıların ilk bir veya iki kişi dışında neredeyse tüm ana şifre karakterlerini kurtarmasına izin verir.
Bilgi çalma kötü amaçlı yazılım veya tehdit aktörleri, bu tekniği programın belleğini dökmek ve ve Keepass veritabanını bellek dökümünden temizleme metni şifresinin çevrimdışı olarak geri almak için uzak bir sunucuya geri göndermek için kullanabilir. Parola alındıktan sonra, Keepass şifre veritabanını açabilir ve kaydedilen tüm hesap kimlik bilgilerine erişebilirler.
Keepass'ın yaratıcısı ve ana geliştiricisi Dominik Reichl, kusuru kabul etti ve yakında bir düzeltme yayınlamaya söz verdi ve zaten beta yapılarında test edilen etkili bir çözüm uyguladı.
Hafta sonu, Reichl beklenenden daha erken Keepass 2.54'ü yayınladı ve 2.x şubesinin tüm kullanıcılarına yeni sürüme yükseltilmesi şiddetle tavsiye edilir.
Keepass 1.x, StrongBox veya Keekassxc kullanıcıları CVE-2023-32784'ten etkilenmez ve bu nedenle daha yeni bir sürüme geçmesine gerek yoktur.
Güvenlik açığını düzeltmek için, Keepass artık metin kutularından veri ayarlamak veya almak için bir Windows API'sı kullanıyor ve potansiyel olarak bellekten dökülebilen yönetilen dizelerin oluşturulmasını önleyiyor.
Reichl ayrıca, şifrenin parçalarını bellekten almayı zorlaştırmak ve bunları geçerli bir ana şifreye birleştirmeyi zorlaştırmak için KeepAss işleminin anısına rastgele karakterlerle "kukla telleri" tanıttı.
Keepass 2.5.4 ayrıca, 'tetikleyiciler', 'Global URL geçersiz kılmalar' ve 'şifre jeneratör profillerini' taşıma gibi diğer güvenlik geliştirmeleri de sunar ve bu da Keepass yapılandırma dosyasını değiştiren saldırılardan ek güvenlik sağlayan zorunlu yapılandırma dosyasına.
Tetikleyiciler, geçersiz kılmalar ve profiller, önceki bir sürüm kullanılarak oluşturuldukları için zorunlu yapılandırmada saklanmazsa, 2.54'te otomatik olarak devre dışı bırakılır ve kullanıcıların bunları 'Araçlar' Ayarları menüsünden manuel olarak etkinleştirmeleri gerekir.
Keepass 2.54'e yükseltemeyen kullanıcıların ana şifrelerini sıfırlamak, çarpışma dökümlerini, hazırda bekletme dosyalarını silmek ve ana şifrelerinin parçalarını içerebilecek veya yeni bir işletim sistemi kurulumu gerçekleştirebilmeleri için önerilir.
Sorunun yalnızca programın giriş formlarında yazılan şifreleri etkilediğini unutmayın, bu nedenle kimlik bilgileri kopyalanır ve kutulara yapıştırılırsa, bellekte veri açma dizeleri oluşturulmaz.
Keepass Sustamit, Clear Stext Master şifresini almaya yardımcı olur, düzeltme yakında gelir
Android Güvenlik Güncellemesi Mali GPU Kusurunu Düzeltmeler Casus Yazılımlar
GitLab 'en kısa sürede maksimum yama maksimum yama kusurunu önerir
Microsoft Mayıs 2023 Patch Salı 3 sıfır gün, 38 kusur düzeltiyor
Microsoft Nisan 2023 Patch Salı Düzeltmeleri 1 Sıfır Gün, 97 Kusur
Kaynak: Bleeping Computer