Μία ευπάθεια στην ασφάλεια της δημοφιλής εφαρμογής KeePass 2 που αποκαλύφθηκε πρόσφατα επηρεάζει όλες τις εκδόσεις του password manager, αλλά μόνο αν είναι ενεργοποιημένες οι αυτόματες ενημερώσεις λογισμικού.
Η εφαρμογή KeePass 2 έχει την δυνατότητα να ελέγχει περιοδικά για ενημερώσεις του προγράμματος. Αν και οι έλεγχοι για νέες ενημερώσεις πραγματοποιούνται ανελλιπώς, εφόσον είναι ενεργοποιημένη η λειτουργία, η αυτόματη λήψη και εγκατάσταση των ενημερώσεων δεν υποστηρίζεται.
Ας δούμε τι συμβαίνει: Η εφαρμογή KeePass επικοινωνεί με μια υπηρεσία για να ελέγξει αν υπάρχει διαθέσιμη ενημέρωση. Οι χρήστες μπορούν στη συνέχεια, να κάνουν κλικ για να δουν την ενημερωμένη έκδοση, και εφόσον υπάρχει διαθέσιμη ενημέρωση θα ανοίξει μια σελίδα στο Internet που διαθέτει το αρχείο για λήψη.
Η ευπάθεια εκμεταλλεύεται το γεγονός ότι η KeePass 2 διανέμει τις ενημερώσεις μέσω HTTP και όχι από HTTPS. Ένας εισβολέας θα μπορούσε να εκμεταλλευτεί το γεγονός με παρακράτηση των αιτημάτων ενημέρωσης, για παράδειγμα σε ένα τοπικό δίκτυο, στέλνοντας ψευδείς πληροφορίες ενημέρωσης στο KeePass 2 client, για να κάνει τους χρήστες να ανοίξουν μια ιστοσελίδα στο διαδίκτυο, όπου υπάρχει για λήψη μια κακόβουλη έκδοση του KeePass.
Ο προγραμματιστής του KeePass δεν θα διορθώσει το πρόβλημα, σύμφωνα με την έκθεση.
Πως να προστατευτείτε:
Όσοι από εσάς χρησιμοποιούν την εφαρμογή KeePass έχετε μία επιλογή, να απενεργοποιήσετε τους ελέγχους για ενημερωμένες εκδόσεις.
Ανοίξτε το λογισμικό KeePass 2 στο σύστημά σας.
Επιλέξτε Εργαλεία> Επιλογές από το μενού
Στην καρτέλα Για προχωρημένους στο παράθυρο επιλογών, αφαιρέστε το σημάδι επιλογής από το “Έλεγχος για ενημερώσεις του KeePass στην εκκίνηση.”
Το μειονέκτημα είναι ότι θα πρέπει να βρείτε έναν τρόπο για ενημερώνεστε για τις νέες ενημερώσεις. Μπορείτε να επισκεφθείτε την ιστοσελίδα της εφαρμογής για αυτό, ή να εγγραφείτε στο KeePass RSS Feed αν χρησιμοποιείτε κάποιο πρόγραμμα ανάγνωσης RSS.
