La vulnerabilidad de KeePass podría exponer la contraseña maestra en texto sin formato

El popular administrador de contraseñas KeePass tenía una vulnerabilidad de seguridad grave que exponía las contraseñas maestras de los usuarios en texto claro. Tras el informe de error, el servicio solucionó la falla con la próxima versión de KeePass, junto con muchas otras actualizaciones de funciones.

Vulnerabilidad de KeePass podría filtrar contraseñas maestras

Un investigador de seguridad con el alias «vdohney» descubrió un grave problema de seguridad que afectaba al administrador de contraseñas de KeePass. Específicamente, explotar la vulnerabilidad podría permitir que un adversario acceda a las contraseñas maestras de KeePass en texto claro.

Como se explica en el informe de error del investigador, la configuración predeterminada de KeePass podría permitir que un usuario extraiga la contraseña maestra del volcado de memoria del proceso. La ejecución de esta actividad no requirió la ejecución de código y no recibió ningún impacto de la fuente de memoria.

Dado un volcado del núcleo del proceso, puedo reconstruir la contraseña maestra. No importa si el espacio de trabajo está bloqueado o no, aún funciona. La fuente de memoria tampoco es importante; por ejemplo, podría ser un archivo de intercambio o el archivo de hibernación. No se necesita ejecución de código, solo memoria.

Además, la falla de seguridad permanecería allí incluso después de que el espacio de trabajo esté bloqueado. El investigador señaló que este fenómeno violaba la afirmación de KeePass de cerrar el archivo de la base de datos después de bloquear el espacio de trabajo.

Específicamente, el problema existía con la clase SecureTextBoxEx. Después de que un usuario ingresa la contraseña maestra de KeePass, la herramienta expondrá los caracteres de la contraseña maestra en las cadenas restantes.

Además de compartir los detalles del informe, el investigador también demostró la falla (CVE-2023-32784) en la prueba de concepto compartida en GitHub.

KeePass solucionó la falla

Aunque la vulnerabilidad parecía grave, curiosamente no afectaba a las contraseñas cuando se pegaban desde el portapapeles. En cambio, solo funcionaba con contraseñas ingresadas manualmente. (Sin embargo, copiar contraseñas y dejarlas en el portapapeles es otra mala práctica de seguridad). Además, la vulnerabilidad no expuso el primer carácter de la contraseña maestra, solo los siguientes.

Sin embargo, para eliminar cualquier riesgo de seguridad, Dominik Reichl, creador y desarrollador de KeePass, ha solucionado el problema con la última versión. Como se explicó en su respuesta a vdohney, KeePass ahora usa las funciones de la API de Windows para «obtener/establecer el texto del cuadro de texto» en lugar de crear cadenas administradas. Además, la herramienta ahora crea fragmentos ficticios en la memoria del proceso para evitar que se determinen los fragmentos correctos.

Los desarrolladores lanzaron estas correcciones con KeePass versión 2.54. Además de esta corrección de errores, la nueva versión de Password Manager incluye varias mejoras y actualizaciones de funciones.

Algunos cambios notables incluyen el almacenamiento de disparadores, anulaciones de URL globales, perfiles de generador de contraseñas y otras configuraciones de archivos de configuración aplicadas, agregando un cuadro de diálogo con las «Opciones de aplicación» y cuadros de diálogo de confirmación de exportación mejorados.

Ahora que el PoC de vulnerabilidad y el parche respectivo han llegado públicamente, todos los usuarios de KeePass deben actualizar sus dispositivos inmediatamente a las últimas versiones de KeePass para mantenerse a salvo de posibles ataques.

Háganos saber sus pensamientos en los comentarios.

Fuente