CVE-2023-36266
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W Keeper Password Manager dla systemu Desktop w wersji 16.10.2 oraz w rozszerzeniach przeglądarki KeeperFill w wersji 16.5.4 zidentyfikowano problem, który pozwala lokalnym atakującym na uzyskanie wrażliwych informacji poprzez przechowywanie haseł w postaci niezaszyfrowanej w pamięci po zalogowaniu. Problem ten został naprawiony w wersji 17.2.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do wrażliwych danych, co może prowadzić do kradzieży tożsamości lub nieautoryzowanego dostępu do kont użytkowników. Ryzyko to może być szczególnie istotne w środowiskach, gdzie bezpieczeństwo danych jest kluczowe.
Rekomendacja
Zaleca się aktualizację Keeper Password Manager oraz rozszerzeń KeeperFill do wersji 17.2 lub nowszej, aby zlikwidować tę podatność. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa w celu oceny potencjalnych zagrożeń.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Keeper Password Manager for Desktop version 16.10.2 (fixed in 17.2), and the KeeperFill Browser Extensions version 16.5.4 (fixed in 17.2), allows local attackers to gain sensitive information via plaintext password storage in memory after the user is already logged in, and may persist after logout. NOTE: the vendor disputes this for two reasons: the information is inherently available during a logged-in session when the attacker can read from arbitrary memory locations, and information only remains available after logout because of memory-management limitations of web browsers (not because the Keeper technology itself is retaining the information).