KeePass ha lanzado la versión 2.54, la cual soluciona la vulnerabilidad CVE-2023-32784 que permitía extraer la contraseña maestra en texto claro desde la memoria de la aplicación.
Cuando los usuarios crean una nueva base de datos en el gestor de contraseñas KeePass, deben establecer una contraseña maestra que se utiliza para cifrar dicha base de datos. Para acceder a las credenciales almacenadas en el futuro, los usuarios deben ingresar esta clave maestra, permitiendo su descifrado.
Sin embargo, en mayo de 2023, un investigador de seguridad conocido como «vdohney» reveló una vulnerabilidad junto con un exploit de prueba de concepto que posibilitaba extraer parcialmente la contraseña maestra de KeePass en texto claro a partir de un volcado de memoria de la aplicación. La actualización a la versión 2.54 aborda este problema, fortaleciendo la seguridad del gestor de contraseñas.
- Más información de la vulnerabilidad: Haz click aquí
La actualización llegó durante el fin de semana, Reichl lanzó KeePass 2.54 antes de lo esperado, y se recomienda encarecidamente a todos los usuarios de la rama 2.x que actualicen a la nueva versión.
Los usuarios de KeePass 1.x, Strongbox o KeePassXC no se ven afectados por la vulnerabilidad CVE-2023-32784 y, por lo tanto, no necesitan migrar a una versión más reciente.
Para solucionar la vulnerabilidad, KeePass ahora usa una API de Windows para configurar o recuperar datos de cuadros de texto, lo que evita la creación de cadenas administradas que potencialmente pueden volcarse de la memoria.
Reichl también introdujo «cadenas ficticias» con caracteres aleatorios en la memoria del proceso KeePass para dificultar la recuperación de fragmentos de la contraseña de la memoria y combinarlos en una contraseña maestra válida.
KeePass 2.5.4 también presenta otras mejoras de seguridad, como mover «Disparadores«, «Anulaciones de URL globales» y «Perfiles generadores de contraseñas» al archivo de configuración obligatorio, lo que brinda seguridad adicional contra los ataques que modifican el archivo de configuración de KeePass.
Alerta Temprana de Riesgos Cibernéticos (ATRc®)
Attack Surface Management
Cyber Threat Intelligence
