利用漏洞可以明文形式泄露您的KeePass主密码

文章编号:3152 综合杂烩 2024-07-04 快马论坛网

文章:《利用漏洞可以明文形式泄露您的KeePass主密码》_配图

KeePass密码管理器的用户可能希望在接下来的几周里格外警惕。新发现的漏洞允许以明文形式检索主密码,即使在数据库锁定或程序关闭时也是如此。虽然解决方案正在酝酿之中,但最快也要到6月初才能到位。

(2023年6月5日更新:修补此漏洞的KeePass版本2.54现已发布。)

正如《哔哩哔哩》报道的那样,一位名为vdohney的安全研究人员发布了一个概念验证工具,该工具实际展示了该漏洞的利用。攻击者可以执行内存转储来收集大部分明文形式的主密码,即使在KeePass数据库关闭、程序锁定或程序不再打开的情况下也是如此。当从内存中取出时,密码的前一两个字符将丢失,但随后可以猜测出整个字符串。

对于那些不熟悉内存转储漏洞的人来说,你可以把这种情况想象成有点像KeePass的主密码在裤子口袋里找零钱。抖动裤子,你几乎得到了购买进入数据库所需的全部美元(可以说)–但这些硬币从一开始就不应该在口袋里四处漂浮。

概念验证工具在Windows中展示了这个问题,但Linux和MacOS也被认为是易受攻击的,因为该问题存在于KeePass中,而不是操作系统中。Windows中的标准用户帐户也不安全-转储内存不需要管理权限。要执行攻击,恶意攻击者需要远程访问计算机(通过恶意软件获得)或物理访问。

文章:《利用漏洞可以明文形式泄露您的KeePass主密码》_配图1

所有现有版本的KeePass 2.x(例如,2.53.1)都会受到影响。与此同时,根据vdohney的说法,与KeePass数据库文件兼容的其他密码管理器KeePass 1.x(仍在维护的旧版本程序)、KeePassXC和Strongbox不受影响。

此漏洞的修补程序将在KeePass版本2.54中提供,该版本可能会在6月初发布。KeePass的开发者Dominick Reichl在SourceForge论坛上给出了这一估计,并警告说,不能保证时间框架。具有安全缓解功能的KeePass的不稳定测试版本现已推出。嗡嗡作响的计算机报告说,概念验证利用工具的创建者无法在修复到位后重现该问题。

然而,即使在升级到KeePass的固定版本后,主密码仍可能在程序的内存文件中可见。为了完全防止这种情况,你必须使用覆盖现有数据的模式完全清除你的电脑,然后重新安装操作系统。

然而,这是一个相当激烈的举动。更合理的是,不要让不受信任的人访问你的计算机,不要点击任何未知的链接或安装任何未知的软件。一个好的防病毒程序(就像我们最推荐的程序之一)也会有所帮助。当修复版本的KeePass启动时,你还可以在升级后更改你的主密码-如果之前的密码仍然隐藏在你的内存文件中,这样做应该会使它变得无关紧要。

你还可以通过重新启动电脑,清除休眠和交换文件,并在KeePassXC等安全的替代方案中暂时访问KeePass数据库来减少风险。设备加密还可以帮助抵御对您的PC的物理攻击(或者如果您认为有人可以在您捐赠或丢弃PC后挖掘这些信息)。有一些方法可以保持保护-幸运的是,这似乎只是一个概念验证问题,而不是一个积极的利用。

编者按:本文最初发布于2023年5月19日,并于2023年6月5日更新,其中包含一个指向修补此漏洞的KeePass版本2.54的链接。

外链关键词:  世界最美女星  女人写真  欧美 人体  应聘平面模特  美女性感大全  朝鲜美女  看美女图片  人体摄影艺 
本文地址: https://www.q16k.com/article/23b839556ed4110529db.html
物色

为你推荐最好的产品

旅游景点点评

2024年6月25日,猫途鹰Tripadvisor有旅游客人分享的十亿条点评,在这里你可以获取旅行建议,查看景点旅游信息、景点点评、酒店预订价格、餐厅信息和美食评论。猫途鹰是您获取出国、出境旅游信息和价值的重要渠道,上猫途鹰制定你的旅游计划吧

SoBooks

该站点未添加描述description...

长清信息港

长清信息港是一个为长清区百姓提供全方位、本土化、人性化服务的综合信息平台;是长清区百姓最喜爱的专业网站。

聊天技巧幽默追女孩子

蓝月追女孩,分享轻松幽默的追女孩子的聊天技巧,教会你如何轻松的追求女孩子,覆盖微信聊天技巧幽默追女孩子、追女孩子聊天话术、适合追女孩子的短信甜言蜜语,轻松帮助快速追求到自己喜欢的女孩子。

悍铭

悍铭数据中心—专业提供香港vps、美国VPS、弹性云服务器、香港空间、美国空间、虚拟主机、域名注册、香港云主机、服务器租用托管等,是您的放心之选!

元泽漫画

该站点未添加描述description...

文学作品赏析

为广大用户分享古今经典文学作品,有趣文段赏析,古人古诗等。

免费安卓软件下载

一起玩手游网为用户提供高人气的手机游戏和安卓软件下载服务。我们每天精选并整理当下热门且好玩的游戏和软件题材,形成专题推荐给用户。此外还提供各类免费的手机软件和版本,致力于为用户打造一个安全、可靠、高速的一站式软件游戏下载平台。

网站发布网

该站点未添加描述description...

Z
Z

使用网赚项目问答的形式帮助网赚类网站突出重点,也可以做一个知识问答分享类的网站。自适应主题模板,支持手机、平板和电脑访问!

易创项目

易创项目汇集领域干货内容,分享优质知识,为创业者持续持续提供助力,助您实现创业梦想!

天津平行进口车

进口车市为您提供天津平行进口车报价信息、天津平行进口车新闻资讯、天津平行进口车市场行情、天津平行进口车经销商信息等,是您选购进口车的第一网络平台

Bootstrap模板

Bootstrap模板库—汇聚国内外顶尖Bootstrap模板设计作品和Bootstrap插件,并提供网站模板在线预览及源码下载。全球顶尖网页前端设计作品,高效套用模板,尽在bootstrapmb.com

2022年笔记本性价比排行榜

笔记本电脑性价比往往是购买最大的影响因素,笔记本性价比排行榜也是用户经常提到的,一款性价比高的笔记本电脑可以让我们用最少的钱买到称心如意的好笔记本电脑,本站为大家分享性价比高的笔记本电脑推荐,笔记本电脑排名前十位的有哪些呢?进来看看京东笔记本销量榜就知道了

温州公交

温州公交,提供温州公交线路查询,温州公交车时刻表,温州公交车首末班车时间,温州公交车站位置、票价及总里程等信息。