密码管理工具 KeePass 被爆安全漏洞:允许攻击者以纯文本形式导出整个数据库
消息来源:baojiabao.com 作者: 发布时间:2026-02-11
最新 1 月 31 日消息,开源密码管理工具 KeePass 近日被爆存在安全漏洞,允许攻击者在用户不知情的情况下,以纯文本形式导出整个数据库。
最新小课堂:相比较 LastPass 和 Bitwarden 的云托管方式 ,开源密码管理工具 KeePass 主要使用本地存储的数据库来管理数据库。
为了保护这些本地数据库,用户可以使用主密码对它们进行加密。这样恶意软件或威胁行为者就不能窃取数据库,也就无法访问存储在其中的相关密码。
新漏洞现在被跟踪为 CVE-2023-24055。攻击者在获取目标系统的写入权限之后,通过更改 KeePass XML 配置文件并注入恶意触发器,之后该触发器将以明文方式导出包含所有用户名和密码的数据库。
整个导出过程完全在后台完成,不会向受害者发出通知,不需要进行前期的交互,也不需要受害者输入主密码,从而允许威胁者悄悄地访问所有存储的密码。
在报告并分配了一个 CVE-ID 之后,用户要求 KeePass 背后的开发团队在静默数据库导出之前添加一个确认提示,在通过恶意修改的配置文件触发导出后需要发出提示,或者提供一个没有导出功能的应用程序版本。
KeePass 官方则回应表示,这个问题不应该归咎于 KeePass。KeePass 开发人员解释道:"拥有对 KeePass 配置文件的写入权限通常意味着攻击者实际上可以执行比修改配置文件更强大的攻击(这些攻击最终也会影响 KeePass,独立于配置文件保护)"。
开发人员继续说道:"只能通过保持环境安全(通过使用防病毒软件、防火墙、不打开未知电子邮件附件等)来防止这些攻击。KeePass 无法在不安全的环境中神奇地安全运行"。
2023-02-12 19:22:18相关文章
炒港股要补交多少税?我也接到催交补税特别行动的电话了2025-07-23 17:36:43
淘宝天猫仅退款属于诈骗吗?淘宝天猫开始部分取消仅退款2024-10-01 13:01:28
哈啰app借钱|哈啰借钱app下载安装免费小小上当和电话骚扰2024-10-01 11:22:38
白嫖党|山西大同大学学生网购申请“仅退款”被拒骂客服一小时2024-09-27 09:10:44
北大数学教授袁新意《姜萍事件的疑点分析》点评姜萍板书 阿里巴巴竞赛受质疑2024-06-28 10:07:40
天猫新规可以无条件申请“仅退款”了?淘宝天猫又离狗多多零元购近了一步2024-06-28 09:27:13
美国法院裁定阿里须为Squishmallows玩具侵权案答辩2023-12-28 19:59:34
小米汽车传员工3700人 雷军称小米汽车不可能卖9万92023-12-28 19:41:57
国家新闻出版署:认真研究《网络游戏管理办法(草桉徵求意见稿)》关切 实行前进一步完善2023-12-28 19:14:56
印度以打击金融犯罪为由逮捕了两名 vivo 高管2023-12-26 16:49:01
在国外微信收不到国内信息?微信和WeChat将被拆分2023-12-15 10:40:15
苹果iPhone15 系列手机发布最新消息 预计上市发布时间9月2023-08-06 23:21:02
华为将发布鸿蒙HarmonyOS4操作系统 功能五大升级支持设备清单2023-08-06 23:17:37
整治自媒体网红账号 400万粉丝网红发布擦边视频被无限期封禁2023-07-12 09:56:09
网传微信文件传输助手是真人是真的吗?微信官方回应2023-06-27 15:53:32
电信移动送手机成了“信用购”?你上了运营商的贷款套路了吗?2023-06-12 17:18:55
中国电信广东地区崩了无信号 客服回应已在核实处理2023-06-08 15:39:04
消息称小米新能源汽车价格表正讨论定价区间:双版本不同配置,高配或超 35 万元2023-03-06 12:56:03
华为因制裁被传或分拆剥离手机业务? 内部人士回应:可能性不大.2023-03-05 23:26:41
OPPO正式发布安第斯智能云,让终端更智能2023-02-24 16:02:27














