Vulnerabilidad de cifrado del archivo de configuración XML de KeePass

Se ha reportado un nuevo aviso de seguridad sobre una vulnerabilidad que afecta a XML de KeePass, que permitiría a un atacante realizar divulgación de información confidencial.  

La vulnerabilidad identificada como CVE-2023-24055, sin severidad y sin puntuación asignada aún. Esta vulnerabilidad se debe a una falla de seguridad en el archivo de configuración XML de KeePass. Esto permitiría a un atacante local con acceso de escritura del archivo de configuración XML obtener a través de un trigger de exportación de contraseñas en texto claro del sistema afectado. Dado que actualmente para esta vulnerabilidad existe una prueba de concepto (PoC) pública, recomendamos mitigar parcialmente el riesgo lo más pronto posible. 

El producto afectado es: 

  • KeePass, versión 2.53 y anteriores. 

Debido a que aún no existen actualizaciones, recomendamos la siguiente mitigación parcial que disminuiría el riesgo de explotación agregando la política: 

Tools > Options > Policy > «You can turn off Do not require entering current master key before exporting» 

Actualmente los desarrolladores del producto continúan en discusión sobre si publicaran un parche al respecto del problema de seguridad reportado. Adicionalmente recomendamos estar pendiente a posibles actualizaciones correspondientes y/o parches que se publiquen en el futuro apenas sean provistas por el fabricante en el siguiente enlace: 

Referencias: 

Compartir: