Portant la référence CVE-2023-32784, cette lacune de sécurité rend possible l’extraction du mot de passe principal d’une base de données KeePass, que celle-ci soit verrouillée ou déverrouillée, à partir d’une extraction de la mémoire sur l’ordinateur local. Cette technique, associée à la preuve de concept “KeePass Master Password Dumper”, est efficace, qu’elle soit utilisée sur une extraction complète de la mémoire RAM, du processus, du SWAP (pagefile.sys), ou du fichier d’hibernation de Windows (hiberfil.sys).
Une personne se faisant appeler vdohney est à l’origine de cette découverte et prétend que cette méthode est applicable sur Windows avec la dernière mise à jour de KeePass, actuellement la version 2.53.1. Vdohney indique également que cette méthode devrait également fonctionner sur macOS et Linux.
Il détaille que cela est lié à .NET et à la façon dont les chaînes de caractères sont conservées en mémoire. Il réussit à extraire les caractères un à un, pour finalement reconstituer le mot de passe principal permettant l’accès à la base de données KeePass. Cependant, il précise que le premier caractère du mot de passe ne peut être extrait, mais avec un seul caractère à déterminer, il admet que ce n’est qu’une question de temps pour le deviner. Sur sa page GitHub, vdohney précise :
KeePass Master Password Dumper est un outil de démonstration simple pour extraire le mot de passe principal de la mémoire de KeePass. Mis à part le premier caractère du mot de passe, il est généralement capable de récupérer le mot de passe en clair.
Comment se défendre ?
Dominik Reichl, le fondateur de KeePass, a déjà conçu un correctif. Selon vdohney, ce correctif est fonctionnel et permet de se prémunir de cette faille de sécurité. Cependant, il faudra patienter pour en bénéficier, car il sera inclus dans KeePass 2.54, dont la sortie est prévue au plus tard en juillet 2023. Dominik Reichl déclare :
Les améliorations seront incluses dans la prochaine version de KeePass (2.54). Actuellement, je travaille encore sur quelques autres fonctionnalités (également liées à la sécurité) et dès qu’elles seront terminées, je sortirai la version 2.54 de KeePass.
Pour plus d’informations, vous pouvez consulter GitHub et le forum de discussion KeePass.