Masterpasswort könnte rekonstruiert werden
Die Entwickler von KeePass haben mit der Version 2.54 der kostenlosen Passwortverwaltung eine Schwachstelle behoben, die es einem Angreifer ermöglichen könnte, das Masterpasswort unter bestimmten Umständen zu erlangen.
In früheren Versionen von KeePass 2.x vor der Version 2.54 war es möglich, das Masterpasswort im Klartext aus einem Speicherabbild wiederherzustellen. Allerdings musste der Angreifer bereits Zugriff auf das System haben. Das Speicherabbild konnte ein KeePass-Prozessdump, eine Auslagerungsdatei (pagefile.sys), eine Hibernationsdatei (hiberfil.sys) oder ein RAM-Dump des gesamten Systems sein, wie in der Sicherheitswarnung (CVE-2023-32784) beschrieben. Das erste Zeichen des Passworts konnte jedoch nicht wiederhergestellt werden. Daher wird allen KeePass-Nutzern empfohlen, so bald wie möglich auf die neue Version zu aktualisieren. Diese behebt die Sicherheitslücke durch verbesserten Prozessspeicherschutz von Secure Edit Controls, wie in der Ankündigung kurz erwähnt.
Neben der behobenen Sicherheitslücke bietet die neue Version auch neue Funktionen. KeePass speichert jetzt Triggers, globale URL Overrides, Password Generator Profile und einige weitere Einstellungen in der „enforced configuration“-Datei. Passend dazu gibt es den neuen Dialog „Enforce Options“ (zu finden unter „Extras“ → „Erweiterte Tools“ → „Optionen erzwingen“), der die Speicherung bestimmter Optionen in der „enforced configuration“-Datei erleichtert.