密码管理工具KeePass被爆安全漏洞：允许攻击者以纯文本形式导出整个数

KeePass是一个开源的密码管理工具，最近被爆存在安全漏洞，攻击者可以在用户不知情的情况下，以纯文本形式导出整个数据库。

IT小课堂:与LastPass和Bitwarden的云托管方式相比，开源密码管理工具KeePass主要使用本地存储的数据库来管理数据库。

为了保护这些本地数据库，用户可以用主密码对它们进行加密这样，恶意软件或威胁行为者就无法窃取数据库，也无法访问存储在其中的相关密码

新漏洞现在被跟踪为CVE—2023—24055在攻击者获得目标系统的写权限后，他更改KeePass XML配置文件并注入恶意触发器，然后该触发器将以明文形式导出包含所有用户名和密码的数据库

整个导出过程完全在后台完成，不需要通知受害者，不需要之前的交互或受害者输入主密码，从而让攻击者可以悄悄地访问所有存储的密码。

在上报并分配一个CVE ID后，用户要求KeePass背后的开发团队在静默数据库导出前添加确认提示，或者在恶意修改配置文件触发导出后发送提示，或者提供一个没有导出功能的应用版本。

KeePass官方回应称，这个问题不应该归咎于KeePassKeePass开发人员解释说:拥有KeePass配置文件的写权限通常意味着攻击者实际上可以实施比修改配置文件更强大的攻击

开发人员继续说道:只有保持环境安全才能防止这些攻击KeePass无法在不安全的环境中神奇地安全运行

郑重声明：此文内容为本网站转载企业宣传资讯，目的在于传播更多信息，与本站立场无关。仅供读者参考，并请自行核实相关内容。