Une faille dans KeePass permet de récupérer le mot de passe principal, le PoC est public (CVE-2023-32784)

Une vulnérabilité dans le gestionnaire de mots de passe open-source KeePass peut être exploitée pour récupérer le mot de passe principal dans la mémoire du logiciel, déclare le chercheur qui a découvert la faille.

La mauvaise nouvelle est que la vulnérabilité n’est toujours pas corrigée et qu’un outil d’exploitation PoC – bien nommé KeePass 2.X Master Password Dumper – est disponible publiquement, mais la bonne nouvelle est que le mot de passe ne peut pas être extrait à distance simplement en exploitant cette faille.

« Si vous avez de bonnes raisons de penser que quelqu’un pourrait avoir accès à votre ordinateur et procéder à une analyse médico-légale, ce n’est pas une bonne chose. Dans le pire des cas, le mot de passe principal sera récupéré, même si KeePass est verrouillé ou ne fonctionne pas du tout. »

Le problème concerne SecureTextBoxEx, la zone de texte personnalisée du logiciel qui permet de saisir le mot de passe principal et d’autres mots de passe lors de l’édition.

Lorsque l’on tape « Mot de passe », on obtient les chaînes de caractères suivantes : a, s, s, w, o, r, d. L’application POC recherche ces modèles dans la décharge et propose un caractère de mot de passe probable pour chaque position du mot de passe ».

La vulnérabilité affecte la branche KeePass 2.X pour Windows, et éventuellement pour Linux et macOS. Ce problème a été corrigé dans les versions de test de KeePass v2.54 – la version officielle est attendue pour juillet 2023.

Partager cet article sur les médias sociaux :

Abonnez-vous à Notre Infolettre !

Restez au fait des risques de cybersécurité, de l’évolution des menaces et de l’actualité du secteur.

Ce champ n’est utilisé qu’à des fins de validation et devrait rester inchangé.

Dernières Nouvelles

Services en Vedette

Actualités Concernant la Cybersécurité

Qu’il s’agisse de cyberattaques majeures, de vulnérabilités critiques récemment découvertes ou de bonnes pratiques recommandées, lisez d’abord ici :

BOOK A MEETING

Enter your Email Address

Ce champ n’est utilisé qu’à des fins de validation et devrait rester inchangé.

* No free email provider (e.g: gmail.com, hotmail.com, etc.)

PLANIFIER UNE RENCONTRE

Saisissez Votre Adresse Courriel

Ce champ n’est utilisé qu’à des fins de validation et devrait rester inchangé.

* Pas de fournisseur de courrier électronique gratuit (par exemple : gmail.com, hotmail.com, etc.)

This site is registered on wpml.org as a development site. Switch to a production site key to remove this banner.