CWE-316 "Klartextpasswort im Prozessspeicher"

[Barungar]

Hi,

vielleicht interessiert es den ein oder anderen, gestern wurde eine Studie zum Thema "Klartextpasswort im Prozessspeicher" veröffentlich. Teilweise berichten auch schon diverse IT-Blogs und Onlinemedien darüber. Im Kern geht es darum, dass sich im lokalen Prozesspeicher eines PCs teilweise die verwalteten Passwörter im Klartext finden lassen, selbst wenn das Programm (Passwortmanager oder VPN-Client) nicht mehr läuft bzw. sogar wenn der Benutzer abgemeldet ist.

Anbei der Blog-Link zur Studie und zur Mitre-Meldung.

https://www.secuvera.de/blog/studie-klartextpassworter-in-passwortspeichern/
https://cwe.mitre.org/data/definitions/316.html

P.S.: Der von mir genutzte Passwortmanager KeePass ist zum Glück nicht betroffen.

 

[tiermutter]

Ich nutze auch KeePass. OVPN ist afaik auch betroffen, aber das ist nicht neu, sondern da warnt das Verbindungslog bei jedem Verbindungsaufbau vor... vermutlich ist damit aber auch nur die Dauer der Nutzung gemeint und nicht noch darüber hinaus...

 

[the other]

Moinsen,
Hier ebenfalls keepass(xc)...
Zu den openvpn Lücken (CVE-2024-27903) wird einschränkend mitgeteilt, dass diese v.a. unter Microsoft Systemen greifen:
https://openvpn.net/security-adviso...cve-2024-27903-cve-2024-27459-cve-2024-24974/