Nouvelle faille dans KeePass 2, mais nécessitant une compromission de l’ordinateur

Une nouvelle brèche, estampillée CVE-2023-32784, concerne toutes les versions 2.X du gestionnaire de mots de passe pour Windows, Linux et macOS.

Exploitée, cette vulnérabilité peut permettre la récupération du mot de passe maître en clair, selon certaines circonstances. Le précieux sésame peut être récupéré depuis la mémoire vive lorsqu’il est saisi par l’utilisateur. Plus précisément, la faille réside dans le champ de saisie et la manière dont les entrées sont gérées, laissant des traces.

Seulement voilà, pour réussir cette opération, il faut que l’ordinateur de la victime ait été compromis. Ce qui rappelle une situation équivalente début février dernier. Dominik Reichl, l’auteur de KeePass, avait alors indiqué que son logiciel n’était pensé pour résister à une compromission locale, le piratage d’une machine offrant de nombreux moyens de parvenir à la récupération du mot de passe maître.

L’attitude est cette fois différente, comme on peut le voir dans l’échange entre le découvreur de la faille (vdohney) et Reichl. On apprend notamment que le signalement a eu lieu en début de mois, et que la faille sera corrigée dans la mouture 2.54 de KeePass, attendue pour début juin.

Source