KeePass şifre yöneticisindeki bir güvenlik açığı nedeniyle, ana şifreye düz metin olarak erişilebilir. Bir güvenlik yaması hala beklemede olsa bile, kullanıcılar hemen paniğe kapılmamalıdır: Saldırganların başarılı bir saldırı için bir dizi engeli aşması gerekir.
KeePass kasasındaki parolalar ve URL’ler gibi tüm veriler şifrelenir. Yalnızca ana parola girildikten sonra erişilebilir. Dolayısıyla özellikle korunmaya değer bir varlıktır. Suçlular onu ele geçirirse, kasayı açabilir ve kayıtlı tüm şifrelere erişebilirler. Bu, süper bir erime anlamına gelir.
Yetkisiz Erişim
Sourceforge’daki bir makaleye göre, bir güvenlik araştırmacısı artık ana parolayı düz metin olarak okumayı başardı. Ana şifreyi yeniden oluşturabildiğini söylediği bir hafıza görüntüsü bunun temelini oluşturdu. KeePass geliştiricileri güvenlik açığını onayladı (CVE-2023-32784).
Güvenlik araştırmacısına göre yaklaşımı, varsayılan ayarlarda KeePass 2.x’in güncel sürümüyle çalışıyor. Bunun için disk belleği dosyasına veya Windows hazırda bekletme moduna erişim yeterlidir. Çalışma alanının kilitli olup olmaması önemli değildir. Güvenlik araştırmacısı, verileri okumak için kendi kodunu çalıştırması gerekmediğini açıklıyor.
Güvenlik sorununun nedeni, “SecureTextBoxEx” özel şifre giriş alanıdır. Yazılan her karakter için yeniden yapılandırmaya izin veren izler içerir.
Geliştiriciler, KeePass 2.54’teki güvenlik açığını kapatmak istiyor. Bu sürümün Temmuz ayında piyasaya sürülmesi planlanıyor. Ancak böyle bir saldırı kolay kolay mümkün değildir: Saldırganın bu hafıza alanını okuyabilmesi için bir sisteme geniş erişime ihtiyacı vardır. Bu nedenle saldırılar kolayca mümkün değildir ve bir saldırganın, örneğin başka bir güvenlik açığından başarıyla yararlanarak sisteme önceden erişim sağlamış olması gerekir.
Ana parola sorunu yeni değil
2020 gibi erken bir tarihte, c’t yayıncıları birçok düz metin parola yöneticisinin ana parolalarını bellek görüntülerinden okumayı başardı. Ancak KeePass bu testi geçti ve ana parola gizli kaldı.
güncellemeler
05/19/2023
11:34
Saat
Açık kaynak referansı ile kısaltılmış pasaj.
(İtibaren)
Haberin Sonu
KeePass kasasındaki parolalar ve URL’ler gibi tüm veriler şifrelenir. Yalnızca ana parola girildikten sonra erişilebilir. Dolayısıyla özellikle korunmaya değer bir varlıktır. Suçlular onu ele geçirirse, kasayı açabilir ve kayıtlı tüm şifrelere erişebilirler. Bu, süper bir erime anlamına gelir.
Yetkisiz Erişim
Sourceforge’daki bir makaleye göre, bir güvenlik araştırmacısı artık ana parolayı düz metin olarak okumayı başardı. Ana şifreyi yeniden oluşturabildiğini söylediği bir hafıza görüntüsü bunun temelini oluşturdu. KeePass geliştiricileri güvenlik açığını onayladı (CVE-2023-32784).
Güvenlik araştırmacısına göre yaklaşımı, varsayılan ayarlarda KeePass 2.x’in güncel sürümüyle çalışıyor. Bunun için disk belleği dosyasına veya Windows hazırda bekletme moduna erişim yeterlidir. Çalışma alanının kilitli olup olmaması önemli değildir. Güvenlik araştırmacısı, verileri okumak için kendi kodunu çalıştırması gerekmediğini açıklıyor.
Güvenlik sorununun nedeni, “SecureTextBoxEx” özel şifre giriş alanıdır. Yazılan her karakter için yeniden yapılandırmaya izin veren izler içerir.
Geliştiriciler, KeePass 2.54’teki güvenlik açığını kapatmak istiyor. Bu sürümün Temmuz ayında piyasaya sürülmesi planlanıyor. Ancak böyle bir saldırı kolay kolay mümkün değildir: Saldırganın bu hafıza alanını okuyabilmesi için bir sisteme geniş erişime ihtiyacı vardır. Bu nedenle saldırılar kolayca mümkün değildir ve bir saldırganın, örneğin başka bir güvenlik açığından başarıyla yararlanarak sisteme önceden erişim sağlamış olması gerekir.
Ana parola sorunu yeni değil
2020 gibi erken bir tarihte, c’t yayıncıları birçok düz metin parola yöneticisinin ana parolalarını bellek görüntülerinden okumayı başardı. Ancak KeePass bu testi geçti ve ana parola gizli kaldı.
güncellemeler
05/19/2023
11:34
Saat
Açık kaynak referansı ile kısaltılmış pasaj.
(İtibaren)
Haberin Sonu