Se ha puesto a disposición una prueba de concepto (PoC) para una falla de seguridad que afecta al administrador de contraseñas KeePass que podría explotarse para recuperar la contraseña maestra de una víctima en texto no cifrado en circunstancias específicas.
El problema, rastreado como CVE-2023-32784, afecta a las versiones 2.x de KeePass para Windows, Linux y macOS, y se espera que se aplique en la versión 2.54, que probablemente se lanzará a principios del próximo mes.
«Aparte del primer carácter de contraseña, es en su mayoría capaz de recuperar la contraseña en texto plano», dijo el investigador de seguridad «vdohney», quien descubrió la falla e ideó un PoC. «No se requiere ejecución de código en el sistema de destino, solo un volcado de memoria».
«No importa de dónde venga la memoria», agregó el investigador, afirmando, «no importa si el espacio de trabajo está bloqueado o no. También es posible volcar la contraseña de la RAM después de que KeePass ya no se esté ejecutando, aunque la posibilidad de que funcione disminuye con el tiempo que ha pasado desde entonces».
Vale la pena señalar que la explotación exitosa de la falla se basa en la condición de que un atacante ya haya comprometido la computadora de un objetivo potencial. También requiere que la contraseña se escriba en un teclado y no se copie del portapapeles del dispositivo.
Vdohney dijo que la vulnerabilidad tiene que ver con cómo un campo de cuadro de texto personalizado utilizado para ingresar la contraseña maestra maneja la entrada del usuario. Específicamente, se ha encontrado que deja rastros de cada carácter que el usuario escribe en la memoria del programa.
Esto lleva a un escenario en el que un atacante podría volcar la memoria del programa y volver a ensamblar la contraseña en texto sin formato con la excepción del primer carácter. Se recomienda a los usuarios que actualicen a KeePass 2.54 una vez que esté disponible.
La divulgación se produce unos meses después de que se descubriera otra falla de gravedad media (CVE-2023-24055) en el administrador de contraseñas de código abierto que podría explotarse para recuperar contraseñas de texto sin cifrar de la base de datos de contraseñas aprovechando el acceso de escritura al archivo de configuración XML del software.
KeePass ha mantenido que la «base de datos de contraseñas no está destinada a ser segura contra un atacante que tenga ese nivel de acceso a la PC local».
También sigue los hallazgos de la investigación de seguridad de Google que detallaron una falla en los administradores de contraseñas como Bitwarden, Dashlane y Safari, que pueden ser abusados para completar automáticamente las credenciales guardadas en páginas web no confiables, lo que lleva a posibles adquisiciones de cuentas.
Fuente: https://thehackernews.com
