Schwachstelle in Keepass

[Oli_P]

Auf Heise war mir letztens dieser Artikel aufgefallen. Ich weiss nicht was ich davon halten soll. Wenn jemand Zugriff auf meinen Rechner hat, kann die Person auch an die Keepass-Konfiguration ran. Ergo, darf mein Rechner nicht entsperrt sein; z.B. wenn ich nicht im Büro bin und Leute dran könnten. Will nicht paranoid klingen, aber ist das wirklich eine Sicherheitslücke, was im Heise-Artikel beschrieben wird?
Aber wie versteh ich das? Wenn meine Datenbank gesperrt ist, kann jemand trotz Passwort und Schlüsseldatei meine Datenbank auslesen mittels Manipulation der Konfigurations-Datei von Keepass? Das kann ich mir irgendwie nicht vorstellen.

 

[DJMadMax]

...nicht so viel vom Handy aus tippern, dann steht der Text auch vollständig da

Vermutlich möchtest du hierauf aufmerksam machen:
https://www.heise.de/news/Diskussion-um-Schwachstelle-in-KeePass-7478396.html

EDIT:
Getreu den Simpsons: "Ihre Finger sind zu fett zum wählen - bitte drücken Sie mit der gesamten Hand auf das Zifferblatt"

 

[PC295]

Meinst du vielleicht diesen hier?
https://www.heise.de/news/Diskussion-um-Schwachstelle-in-KeePass-7478396.html

 

[Oli_P]

Nein, ich tipp am PC und hatte versehenlich den Beitrag abgeschickt. Passiert mir selten, aber heute ist mal so ein Tag An alle: Ja, genau den Artikel von Heise hatte ich verlinkt (sieht man das nicht?).

 

[Alexander2]

Das ALL wurde 2008 zuletzt gesehen, das kommt nicht mehr, versuch mal eher das Universum anzuschreiben, vielleicht klappt das (nicht ernst nehmen )

 

[Oli_P]

LOL, ich hab versucht es weg zu kriegen. Es geht nicht Sogar als ich das "@" durch "An" ersetzt hatte... Der will jetzt immer "All" anquatschen

 

[Alexander2]

Zu der schwachstelle, ist die verschlüsselte Datei an sich gefährdet?

 

[Korben2206]

Zu deiner Frage: die "Lücke" kann genutzt werden um unbemerkt einen Export an ein beliebiges(?) Ziel auszulösen. Dazu muss der Angreifer Zugriff auf die Konfigurationsdatei haben.

D.h.: ja, wenn du deinen Rechner nicht sperrst und andere Personen Zugriff haben könnten sie theoretisch deine Passwörter bekommen. Wenn sie allerdings eh schon diese Art von Zugriff haben gibt es unzählige andere Wege wie sie dir schaden können.. deshalb: immer schön den Rechner sperren

 

[0x8100]

wenn jemand zugriff auf deinen rechner hat, kann er auch einfach keepass.exe gegen eine manipulierte version austauschen, die z.b. alle passwörter nach eingabe des masterpassworts ins netz schickt. daher wird es wohl auch keine fix für diesen angriff über konfigurationsdatei geben.

Zu der schwachstelle, ist die verschlüsselte Datei an sich gefährdet?

nein. nur keepass kann mittels manipulierter konfigurationsdatei dazu gebracht werden, die passwörter im klartext zu exportieren.

 

[Oli_P]

Das ist ja die Frage die ich mir stelle. Ich verstehe den Heise-Artikel nicht so ganz. Wenn die Datei sicher verschlüsselt ist, dann ist diese sicher verschlüsselt. Da änderst du doch nix dran, wenn du was an der Keepass Konfigurations-Datei änderst. Um die Schwachstelle auszunutzen, müsste ja dann auch die Datenbank gleichzeitig entsperrt sein. So álà: Hey, ich muss mal aufs Klo! Bin gleich zurück. Du gehst aus dem Büro und vergisst deine Datenbank und deinen Rechner zu sperren. Zack, da kommt der böse Kollege und manipuliert deine Keepass-Konfig-Datei...

 

[Korben2206]

Der Angreifer ändert deine Konfig. Du kommst vom Klo und entsperrst die Daten und schwuppst wird unbemerkt ein Export ausgelöst...

 

[PC295]

Gemeint ist wohl, dass der Angreifer mit der modifizierten XML einen Export-Trigger einbaut, welcher wiederum automatisch beim Entsperren der Datenbank einen Klartext-Export der gespeicherten Zugangsdaten auslöst.

Diesen Export kann er sich dann abgreifen.

 

[Nilson]

The issue is that KeePass has this weird feature that queues up a cleartext password export for the next time you authenticate.

https://securityboulevard.com/2023/01/keepass-password-manager-leak-cve-richixbw/

Du musst dich nach der Manipulation also einmal anmelden. Danach kann dein Keepass Passwort ausgelesen werden.
Ist dem Angreifer z.B. dein Windows-Passwort bekannt kann er so (unbemerkt) auch dein KeePass-Passwort und damit all deine anderen Passwörter auslesen. Aber wenn dem Angreifer dein Windows-Passwort bekannt ist, kann er auch ganz anderen Schabernack treiben.

 

[Oli_P]

Achso? Dann versteh ich das mit der Meldung, die man sich durch Keepass ausgeben lassen kann (welche der Angreifer aber auch ganz einfach deaktivieren kann). Der einzig sichere Weg ist, seinen Rechner zu sperren beim verlassen des Büros (und sein Passwort niemanden zu geben => das tu ich nicht, auch wenn ich schon gefragt wurde danach). Stimmt, Keepass kann nur so sicher sein wie die Umgebung in der es läuft.

Bin jetzt nicht im Panik-Modus als passionierter Nutzer dieser Software. Aber ich wollte das Problem besser verstehen. Danke euch und schönen Freitag abend

 

[0x8100]

Der einzig sichere Weg ist, seinen Rechner zu sperren beim verlassen des Büros

der rechner selbst muss verschlüsselt sein, denn es hindert ja niemanden daran, den rechner z.b. mit einem live-linux zu booten und von da aus die config zu ändern.

 

[Korben2206]

Wer fragt dich denn auf der Arbeit nach deinem Passwort? Das würde ich ohne mit der Wimper zu zucken melden... sorry aber für soviel Dummheit muss man einfach bestraft werden... (also nicht du, sondern der der gefragt hat).

 

[Oli_P]

der rechner selbst muss verschlüsselt sein, denn es hindert ja niemanden daran, den rechner z.b. mit einem live-linux zu booten und von da aus die config zu ändern.

Natürlich, aber das dauert zu lange (bin ja im genannten Beispiel nur mal kurz zum Klo)

Ergänzung (3. Februar 2023)

Wer fragt dich denn auf der Arbeit nach deinem Passwort? Das würde ich ohne mit der Wimper zu zucken melden... sorry aber für soviel Dummheit muss man einfach bestraft werden... (also nicht du, sondern der der gefragt hat).

Ich wurde das gefragt von unbedarften PC-Nutzern, die einfach nur während meiner Abwesenheit auf gewisse berufsbezogenen Informationen zugreifen wollten. Ich habe das verweigert, dafür muss es andere Lösungen geben als mein Passwort preis zu geben. Aber andere Leute tun das untereinander, ich sehe sowas schonmal. Diese Leute aber haben keine bösen Absichten glaub ich. Aber für mich ist das nix, würd ich nie tun.

 

[Alexander2]

Auch ain von dir benutztes manipuliertes programm kann ja diese config datei austauschen/anpassen, also das reine ausloggen an sich sehe ich nicht als genügend abgesichert an. Nach der Beschreibung die hier gegeben wurde ist das schon eine Lücke die gefixt gehört. oder abgesichert auf eine weise, das sie nicht missbraucht werden kann.

 

[0x8100]

Natürlich, aber das dauert zu lange (bin ja im genannten Beispiel nur mal kurz zum Klo)

dann warte ich als angreifer eben, bis du nach hause gehst.

 

[Oli_P]

Aber dann ist mein Rechner gesperrt.