CVE-2023-35866
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W KeePassXC w wersji do 2.7.5, lokalny atakujący może wprowadzać zmiany w ustawieniach bezpieczeństwa bazy danych, w tym w haśle głównym i uwierzytelnieniu drugiego czynnika, w trakcie sesji zautoryzowanej bazy danych KeePassXC, bez konieczności potwierdzania tych zmian hasłem lub uwierzytelnieniem drugiego czynnika.
Ocena ryzyka
Atakujący lokalny może zmienić kluczowe ustawienia bezpieczeństwa, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych przechowywanych w bazie danych.
Rekomendacja
Zaleca się aktualizację KeePassXC do najnowszej wersji, aby zminimalizować ryzyko związane z tą podatnością oraz rozważenie dodatkowych środków zabezpieczających w celu ochrony danych.
Oryginalny opis (angielski, źródło NVD)
In KeePassXC through 2.7.5, a local attacker can make changes to the Database security settings, including master password and second-factor authentication, within an authenticated KeePassXC Database session, without the need to authenticate these changes by entering the password and/or second-factor authentication to confirm changes. NOTE: the vendor's position is "asking the user for their password prior to making any changes to the database settings adds no additional protection against a local attacker."