Kürzlich wurde eine große Sicherheitslücke im Passwort-Manager KeePass gefunden, durch die unzählige Passwörter gefährdet sind. Diese Informationen befinden sich hinter einem Master-Passwort, das wiederum alle Anmeldedaten im „Tresor“ des Managers schützt. Leider ist dieser Tresor mit seinen vielen Anmeldedaten ein wertvolles Ziel für Cyberkriminelle.

Passwort-Manager gefährdet

Die Sicherheitslücke wurde von einem Forscher namens „vdohney“ aufgedeckt, dessen Proof-of-Concept (PoC)-Tool die Schwachstelle darlegte. Das auf GitHub veröffentlichte Tool wurde entwickelt, um fast alle Master-Passwörter in einem lesbaren und unverschlüsselten Format zu extrahieren, selbst wenn KeePass gesperrt oder gar geschlossen ist.

Die einzigartige Fähigkeit des Tools besteht darin, das Master-Passwort aus dem Systemspeicher von KeePass zu extrahieren. Der Forscher hat darauf hingewiesen, dass dieser aus verschiedenen Quellen stammen kann, etwa aus dem Process Dump, der Swap File, der Hibernation File oder dem RAM-Dump des gesamten Systems.

• Auch interessant: Über 50 Passwörter sind in einer Sekunde geknackt

So kommen Kriminelle an deine Passwörter

Die Sicherheitslücke ist auf einen Teil des proprietären Codes von KeePass zurückzuführen. Wenn Nutzerinnen und Nutzer ihr Hauptpasswort eingeben, tun sie dies in einem benutzerdefinierten Feld namens SecureTextBoxEx. Anders als der Name vermuten lässt, bietet dieses Feld nicht die notwendige Sicherheit, da jedes eingegebene Zeichen im Systemspeicher dupliziert wird. Es sind diese Speicherreste, die das PoC-Tool aufspürt und extrahiert.

Diese Entdeckung ist zwar alarmierend, aber die Schwachstelle hat auch ihre Grenzen. Damit die Sicherheitslücke ausgenutzt werden kann, müssen die Hackerinnen und Hacker physischen Zugang zum Computer ihres Opfers haben. Allerdings haben frühere Vorfälle wie der LastPass-Exploit gezeigt, dass sie schwache Fernzugriffsanwendungen ausnutzen können, um die Kontrolle über den Computer eines Opfers zu erlangen.

Wenn ein Computer mit Schadsoftware infiziert ist, könnte er so konfiguriert werden, dass er den Speicher von KeePass ausliest und ihn zusammen mit der Datenbank der App an den Server der Kriminellen weiterleitet. Sie können dann in aller Ruhe das Master-Passwort auslesen.

KeePass ergreift Maßnahmen

Als Reaktion auf diese Sicherheitslücke hat der Entwickler von KeePass Bleeping Computer zufolge eine Korrektur versprochen. Eine mögliche Lösung ist die Einführung von zufälligem Blindtext in den Speicher der App, um das Passwort zu verschleiern. Obwohl die Lösung nicht vor Juni oder Juli 2023 zu erwarten ist, steht auf der KeePass-Website eine Beta-Version für Nutzerinnen und Nutzer zur Verfügung, die es sich nicht leisten können zu warten.

Quelle: GitHub/vdohney; Bleeping Computer; KeePass

Seit dem 24. Februar 2022 herrscht Krieg in der Ukraine. Hier kannst du den Betroffenen helfen.