- 我的订阅
- 科技
我们正处于一个信息大暴发的时代，每天都能产生数以百万计的新闻资讯！
虽然有大数据推荐，但面对海量数据，通过我们的调研发现，在一个小时的时间里，您通常无法真正有效地获取您感兴趣的资讯！
头条新闻资讯订阅，旨在帮助您收集感兴趣的资讯内容，并且在第一时间通知到您。可以有效节约您获取资讯的时间，避免错过一些关键信息。
开源密码管理工具keepass被爆安全漏洞
开源密码管理工具KeePass近日被爆存在安全漏洞，允许攻击者在用户不知情的情况下，以纯文本形式导出整个数据库。
小课堂：相比较LastPass和Bitwarden的云托管方式，开源密码管理工具KeePass主要使用本地存储的数据库来管理数据库。
为了保护这些本地数据库，用户可以使用主密码对它们进行加密。这样恶意软件或威胁行为者就不能窃取数据库，也就无法访问存储在其中的相关密码。
新漏洞现在被跟踪为CVE-2023-24055。攻击者在获取目标系统的写入权限之后，通过更改KeePassXML配置文件并注入恶意触发器，之后该触发器将以明文方式导出包含所有用户名和密码的数据库。
整个导出过程完全在后台完成，不会向受害者发出通知，不需要进行前期的交互，也不需要受害者输入主密码，从而允许威胁者悄悄地访问所有存储的密码。
在报告并分配了一个CVE-ID之后，用户要求KeePass背后的开发团队在静默数据库导出之前添加一个确认提示，在通过恶意修改的配置文件触发导出后需要发出提示，或者提供一个没有导出功能的应用程序版本。
KeePass官方则回应表示，这个问题不应该归咎于KeePass。KeePass开发人员解释道：“拥有对KeePass配置文件的写入权限通常意味着攻击者实际上可以执行比修改配置文件更强大的攻击（这些攻击最终也会影响KeePass，独立于配置文件保护）”。
开发人员继续说道：“只能通过保持环境安全（通过使用防病毒软件、防火墙、不打开未知电子邮件附件等）来防止这些攻击。KeePass无法在不安全的环境中神奇地安全运行”。
以上内容为资讯信息快照，由td.fyun.cc爬虫进行采集并收录，本站未对信息做任何修改，信息内容不代表本站立场。
快照生成时间：2023-01-31 21:45:08
本站信息快照查询为非营利公共服务，如有侵权请联系我们进行删除。
信息原文地址：
