KeePass被爆安全漏洞：允许攻击者以纯文本形式导出整个数据库

开源密码管理工具 KeePass 近日被爆存在安全漏洞 ，被爆安本形允许攻击者在用户不知情的全漏情况下 ，以纯文本形式导出整个数据库 。洞允

相比较 LastPass 和 Bitwarden 的许攻云托管方式 ，开源密码管理工具 KeePass 主要使用本地存储的击者据库数据库来管理数据库 。免费模板

为了保护这些本地数据库，纯文出整用户可以使用主密码对它们进行加密。式导这样恶意软件或威胁行为者就不能窃取数据库
，个数也就无法访问存储在其中的被爆安本形相关密码 。

新漏洞现在被跟踪为 CVE-2023-24055 。全漏攻击者在获取目标系统的源码库洞允写入权限之后 ，通过更改 KeePass XML 配置文件并注入恶意触发器，许攻之后该触发器将以明文方式导出包含所有用户名和密码的击者据库数据库 。

整个导出过程完全在后台完成，纯文出整不会向受害者发出通知，式导不需要进行前期的源码下载交互，也不需要受害者输入主密码，从而允许威胁者悄悄地访问所有存储的密码 。

在报告并分配了一个 CVE-ID 之后
，用户要求 KeePass 背后的开发团队在静默数据库导出之前添加一个确认提示，亿华云在通过恶意修改的配置文件触发导出后需要发出提示 ，或者提供一个没有导出功能的应用程序版本 。

KeePass 官方则回应表示，这个问题不应该归咎于 KeePass 。KeePass 开发人员解释道：“拥有对 KeePass 配置文件的香港云服务器写入权限通常意味着攻击者实际上可以执行比修改配置文件更强大的攻击（这些攻击最终也会影响 KeePass
 ，独立于配置文件保护）”。

开发人员继续说道：“只能通过保持环境安全（通过使用防病毒软件、防火墙、不打开未知电子邮件附件等）来防止这些攻击 。KeePass 无法在不安全的服务器租用环境中神奇地安全运行” 。