坏消息是 KeePass 官方目前并未修复这个漏洞,好消息是黑客通过利用此漏洞远程提取密码。安全专家还公开发布了 KeePass 2.X Master Password Dumper 概念验证工具。
IT之家翻译该专家内容如下:
如果您的计算机已经感染了以用户权限在后台运行的恶意软件,那么对你的影响可能并不大。
如果有人可以访问你的电脑并进行取证分析,那么在最糟糕的情况下,攻击者可以知道你的主密码。
该漏洞会影响适用于 Windows 的 KeePass 2.X 分支,也可能影响 Linux 和 macOS。该漏洞已在 KeePass v2.54 的测试版本中修复,正式发布预计将于 2023 年 7 月发布。