KeePass 是密碼一款開(kāi)源免費(fèi)的密碼管理器，支持 Windows、管理Linux、出現(xiàn)macOS、安全Android (第三方支持)、漏洞藍(lán)點(diǎn)iOS (第三方支持)，影響得益于開(kāi)源免費(fèi)，版本KeePass 擁有不少忠實(shí)的密碼用戶。

不過(guò)最近有安全專家發(fā)現(xiàn) KeePass 桌面版存在一枚安全漏洞，管理攻擊者可以從內(nèi)存轉(zhuǎn)儲(chǔ)中竊取 KeePass 的出現(xiàn)主密鑰，該漏洞編號(hào)為 CVE-2023-32784，安全影響 KeePass 2.x 所有版本。漏洞藍(lán)點(diǎn)

目前 KeePass 已經(jīng)推出 2.54 測(cè)試版修復(fù)該漏洞，影響如果你使用的版本是 2.54 以下版本，建議升級(jí)到新版本避免數(shù)據(jù)泄露。密碼

漏洞大概情況：

該漏洞允許攻擊者植入惡意軟件，然后從內(nèi)存中竊取 KeePass 的主密鑰，即便 KeePass 工作區(qū)關(guān)閉或處于非活躍狀態(tài)也可以竊取數(shù)據(jù)。

主密碼是解鎖用戶加密數(shù)據(jù)庫(kù)的主要密鑰，攻擊者從內(nèi)存轉(zhuǎn)儲(chǔ)中竊取主密碼后就可以解密數(shù)據(jù)庫(kù)，從而盜取用戶保存的所有賬號(hào)和密碼。

安全專家稱 KeePass 的內(nèi)存來(lái)源不是問(wèn)題，無(wú)論是 KeePass 的進(jìn)程內(nèi)存轉(zhuǎn)儲(chǔ)、交換文件、休眠文件甚至是從整個(gè)系統(tǒng)的轉(zhuǎn)儲(chǔ)文件都可以提取密碼。

安全專家 vdohney 在 GitHub 上發(fā)布了一個(gè)名為 KeePass Master Password Dumper 的概念驗(yàn)證程序，該程序可以從 KeePass 內(nèi)存中檢索出主密碼。

用戶當(dāng)前應(yīng)該采取的措施：

• 立即更改主密碼
• 升級(jí)到 KeePass 2.54 測(cè)試版 (正式版將在 7 月發(fā)布)
• 刪除系統(tǒng)休眠文件 (非必須、一般不推薦)
• 刪除頁(yè)面文件和交換文件 (非必須、一般不推薦)
• 覆寫(xiě)硬盤(pán)防止上面提到的數(shù)據(jù)被恢復(fù) (非必須、一般不推薦)

上面提到的頁(yè)面文件 / 交換文件、休眠文件都是 Windows 系統(tǒng)產(chǎn)生的文件，前者是 pagefile.sys，后者是 hiberfil.sys，都位于系統(tǒng)盤(pán)根目錄，默認(rèn)是隱藏的，需要在資源管理器選項(xiàng)里取消勾選“隱藏受保護(hù)的系統(tǒng)文件”才可以看到。

該漏洞也影響 Linux 和 macOS 系統(tǒng)，最佳做法就是立即升級(jí)新測(cè)試版并更換一個(gè)新主密碼。

• ·LOL英雄聯(lián)盟2018賽季正式開(kāi)啟 全新征程不容錯(cuò)過(guò)
• ·終末陣線：伊諾貝塔全渠道公測(cè)開(kāi)啟 操縱硬核機(jī)甲
• ·尋找維京人海底寶藏 贏取戰(zhàn)意限定時(shí)裝！
• ·多人合作密室逃脫解密游戲《逃脫學(xué)院》將于7月14日正式發(fā)售
• ·《圣劍傳說(shuō) Visions of Mana》現(xiàn)已開(kāi)啟免費(fèi)試玩
• ·魔獸世界7.0草藥學(xué)專業(yè)去哪挖草 7.0草藥怎么獲得
• ·暗影再現(xiàn)共封妖《神都夜行錄》“云夢(mèng)暗影”活動(dòng)限時(shí)開(kāi)啟
• ·《守望先鋒：歸來(lái)》新英雄渣客鎮(zhèn)女王實(shí)機(jī)演示公布
• ·《流浪漢模擬器》上架steam平臺(tái) 暫不支持中文
• ·第五人格克利切在哪里建立第一座孤兒院
• ·金鏟鏟之戰(zhàn)最新女團(tuán)陣容玩法分享
• ·魔獸世界7.0世界任務(wù)獎(jiǎng)勵(lì)修正 獎(jiǎng)勵(lì)隨裝等提升
• ·三個(gè)小伙計(jì)的故事的故事
• ·黑色沙漠古塔夫知識(shí)位置分享
• ·王牌假日，海上黎歌！海南旅文X《王牌競(jìng)速》聯(lián)動(dòng)時(shí)裝魅力上線！
• ·夢(mèng)幻西游2016六一每日簽到獎(jiǎng)勵(lì)分享