Il National Cybersecurity Center (NCSC) avverte di una vulnerabilità nel gestore di password KeePass. Le persone malintenzionate possono sfruttare la vulnerabilità per ottenere l’accesso ai dati archiviati in KeePass.

Il problema (NCSC-2023-0044) è nella configurazione di KeePass, che memorizza il gestore di password non crittografato. Gli utenti malintenzionati possono modificare la configurazione, ad esempio aggiungendo una regola di esportazione dannosa. Se l’utente apre il database KeePass in un secondo momento, quel database fa sì che KeePass esporti i dati memorizzati all’attaccante.

Lo sviluppatore non vuole riparare la perdita

Il National Food Security Center (NCSC) avverte che è disponibile un proof of concept, che semplificherebbe lo sfruttamento della vulnerabilità. Tuttavia, lo sviluppatore di KeePass non vuole riparare la perdita. La posizione dello sviluppatore è che una volta che un utente malintenzionato ottiene l’accesso al sistema della vittima, non esiste un modo ragionevole per impedire il furto dei dati archiviati.

KeePass offre un’opzione per forzare determinate configurazioni prevenendo così l’abuso della vulnerabilità. Questo può essere fatto usando quello che viene chiamato un file di configurazione forzata. NCSC consiglia alle organizzazioni di utilizzare queste opzioni. Maggiori informazioni qui Disponibile.