Säkerhetsbrist i Keepass – huvudlösenord läcker via minnet

Så det är först när man slagit in lösenordet en gång i keepass 2.X klienten som detta blir ett problem, ifall jag förstår det rätt?

Om man skriver in fel lösenord en gång, skrivs minnet över så att det inte längre går att läsa ut lösenordet?

Hmm jag har kört Keepass i många år. Har det på alla enheter och databasen ligger på Google Drive.

Får hoppas dom rappar på med uppdateringen.

Kör Keepass på jobbet så meddelade vår grupp detta iaf. Får hoppas på uppdatering snarast.
Kör 2.52 här.

Skönt att höra att XC inte är påverkat.

Fråga till auditoriet - är det många som kör 2FA på sina lösenordshanterare? (Riktiga då, Lastpass etc är väl knappast att anse som säkra nu för tiden..)

Tackar för en bra skriven artikel det sista stycket innehåller en bra beskrivning av varför det inte är något problem för de flesta men även varför den lokala säkerhetsbristen måste åtgärdas.

Vilken lösenordshanterare (offline) ska man använda?

Det här rör väl ingen för ni kör väl alla med krav på lösenord + krypteringsnyckel?

right?

Har för mig en annan sak som var säkerhetsrisk med Keepass var när man skrev in master lösenordet så kunde en hackade exportera det som en XML-fil där alla lösenord stod i klartext. Tror det var fixat i senaste versionen men är inte helt hundra.

Ja, de hämtar lösenordet från ram minnet, så den ligger ju inte kvar där för evigt heller och om du tex kopierar det från en text fil och klistrar in det så är det lugnt, varför man nu skulle ha master lösenordet nedskrivet, men det kan ju vara en workaround till 2.54 om inte annat.

https://thehackernews.com/2023/05/keepass-exploit-allows-atta...

Den kommer troligtvis inte åtgärdas då det kräver lokal tillgång till datorn och beror på att användaren har skrivrättigheter till konfigurationsfilen.
https://www.cve.org/CVERecord?id=CVE-2023-24055
https://keepass.info/help/kb/sec_issues.html#cfgw

Inte på jobbet.. :/

Usch! Detta var inget vidare att höra!
Väntar på uppdatering med andra ord.

då är jag mer orolig för bakdörren på tplink routrar som man kan använda för att komma åt allt väldigt enkelt. se om dom lyckas fixa till det lr om dom ens bryr sig då den funnits så länge nu.
kan ta över allt som är uppkopplat till tplink totalt.

Lite läskigt att man går ut med det här innan det har löst sig men antar att de inte ville lyssna

Fan, här hoppades på något som kunde hjälpa mig att komma in i min gamla lösenords bank där jag glömt lösenordet.

Du kan ju alltid försöka med brute-force. Hur långt ungefär var lösenordet, och hur många sekel har du på dig?

Varför?

Fast för premisserna som gäller för den här sårbarheten (lokal access) borde väl värdet av en kryptonykel i plaintext vara av mindre värde, bara att sno den med? Den ligger trots allt på disk

Ooops!

Samma med Bitwarden. Funkat bra för mig i alla år. Hostar själv

Menar du att någon skulle kunna få access till minnet på en dator med keepass genom en bakdörr i en router? Hur exakt skulle det gå till? Det låter rätt osannolikt, men visst är det väl möjligt att kunna ansluta via remote desktop då om du redan är inne på nätverket.

har inget med detta att göra, är något helt annat än å dumpa ner minnena.
kan iaf få full kontroll över hela nätverket och alla datorer som ör uppkopplade till en tplink router.

glömde quota