Un investigador de seguridad identificado como vdhoney descubrió una vulnerabilidad en el administrador de contraseñas de código abierto KeePass, afectando a las versiones 2.X para Windows, Linux y macOS. La vulnerabilidad permite a los atacantes recuperar la contraseña maestra de un objetivo en texto sin cifrar desde un volcado de memoria, incluso cuando el espacio de trabajo del usuario está cerrado.
Detalles técnicos de la vulnerabilidad
La vulnerabilidad se relaciona con la forma en que KeePass maneja el cuadro personalizado SecureTextBoxEx. Al escribir una contraseña, quedan cadenas que permiten a un atacante volver a ensamblarla en texto sin cifrar. Por ejemplo, al escribir «password», se obtienen cadenas como •a, ••s, •••s, etc.
El investigador destacó que no se requiere la ejecución de código en el sistema de destino, solo un volcado de memoria. Este puede provenir del proceso, el archivo de intercambio (pagefile.sys), el archivo de hibernación (hiberfil.sys) o el volcado de RAM de todo el sistema.
Un atacante puede recuperar la contraseña maestra incluso si el usuario ha bloqueado el espacio de trabajo e incluso después de que KeePass ya no se esté ejecutando. Vdhoney describió la vulnerabilidad como una que solo un atacante con acceso de lectura al sistema de archivos o RAM del host podría explotar.
Respuesta del mantenedor
El mantenedor de KeePass, Dominik Reichl, reconoció el problema y mencionó que había implementado dos mejoras para solucionarlo. Las mejoras se incluirán en la próxima versión de KeePass (2.54), junto con otras características relacionadas con la seguridad. La fecha estimada de entrega de la nueva versión es a principios de junio.
Contexto general sobre vulnerabilidades en gestores de contraseñas
Esta vulnerabilidad ha mantenido vivas las discusiones sobre la seguridad de los gestores de contraseñas. En los últimos meses, han surgido varios incidentes que resaltan problemas de seguridad relacionados con estas tecnologías.
En diciembre, LastPass reveló un incidente en el que un actor de amenazas accedió a datos del cliente almacenados con un proveedor de servicios en la nube de terceros. En enero, investigadores de Google advirtieron sobre los gestores de contraseñas como Bitwarden, Dashlane y Safari Password Manager por completar automáticamente las credenciales sin que se les solicite ingresar a páginas no confiables.
Además, Bitwarden y 1Password informaron haber observado anuncios pagados en los resultados de búsqueda de Google que dirigían a usuarios a sitios para descargar versiones falsificadas de sus gestores de contraseñas. Mientras tanto, los actores de amenazas han intensificado los ataques contra estos productos.