(資料圖片)

周末，密碼管理工具KeePass進行了更新，以解決一個高嚴重性漏洞，該漏洞允許威脅行為者以明文形式泄露主密碼。

建議使用KeePass版本2.x的用戶將其實例升級到版本2.54以消除威脅。使用KeePass1.x、St??rongbox或KeePassXC的用戶不容易受到該缺陷的影響，因此如果他們不愿意，也不需要遷移到新版本。

無論出于何種原因無法應用補丁的用戶都應該重置其主密碼、刪除故障轉(zhuǎn)儲和休眠文件以及可能保存其主密碼片段的交換文件。在更極端的情況下，他們可以重新安裝操作系統(tǒng)。

5月中旬，有消息稱該密碼管理工具容易受到CVE-2023-32784的影響，該缺陷允許威脅行為者從應用程序的內(nèi)存轉(zhuǎn)儲中部分提取KeePass主密碼。主密碼將以明文形式出現(xiàn)。該漏洞是由別名“vdohney”的威脅研究人員發(fā)現(xiàn)的，他還發(fā)布了該漏洞的概念驗證。

因此，即使工作區(qū)被鎖定或程序最近被關閉，攻擊者也能夠恢復幾乎所有主密碼字符。

理論上，威脅行為者可以部署信息竊取程序或類似的惡意軟件變體來轉(zhuǎn)儲程序的內(nèi)存，并將其與密碼管理器的數(shù)據(jù)庫一起發(fā)送回攻擊者控制下的服務器。

從那里，他們就能夠在沒有時間緊迫的情況下泄露主密碼。使用密碼管理器，主密碼用于解密和訪問保存所有其他密碼的數(shù)據(jù)庫。

關鍵詞：