【缝隙公告】Click Studios PasswordState 12月多个安全缝隙
颁布功夫 2022-12-230x00 缝隙概述
PasswordState 是澳大利亚Click Studios公司的一种本地企业密码治理解决规划，允许其用户存储、接见和共享敏感的密码信息。
12月19日，钻研人员公开披露了Passwordstate软件中的多个安全缝隙，成功利用这些缝隙可能导致敏感信息泄露、权限提升或其它恶意操作。
0x01 缝隙详情
其中3个已经分配CVE的缝隙详情如下：
CVE | 类型 | 评分 | 注明 |
CVE-2022-3875 | API验证绕过 | 9.1 | 该缝隙影响组件 API 中的某些代码，已知影响了Click Studios Passwordstate和Passwordstate Browser Extension Chrome，该缝隙已经公开披露并可能被利用。 |
CVE-2022-3876 | 通过用户节造的密钥绕过授权 | 6.5 | 该缝隙影响组件API的/api/browserextension/UpdatePassword/文件的一些未知处置，参数PasswordID的操作会导致绕过授权。已知影响了Click Studios Passwordstate和Passwordstate Browser Extension Chrome，该缝隙已经公开披露并可能被利用。 |
CVE-2022-3877 | 跨站剧本缝隙（XSS） | 5.7 | 组件URL字段处置法式的未知函数中存在存储型XSS缝隙。已知影响了Click Studios Passwordstate和Passwordstate Browser Extension Chrome，该缝隙已经公开披露并可能被利用。 |
另表4个暂未分配CVE-ID的缝隙蕴含：
l 服务器端对称加密导致存储密码� ；なО埽–VSS评分6.0） ；
l 为API使用硬编码的垂危凭证（CVSS评分5.3） ；
l 密码列表的痛处� ；げ患埃–VSS评分4.3） ；
l 不正确的授权允许恶意用户节造的浏览器扩大设置（CVSS评分3.7）。
恶意用户能够组合利用这些缝隙在Passwordstate 主机系统上获得一个shell，并以明文大局转储所有存储的密码、覆盖数据库中的密码，甚至提升权限以实现远程代码执行。
影响领域
Passwordstate 9.5 - Build 9583及之前版本
Passwordstate Browser Extension Chrome版本9.5.8.4
0x02 安全建议
目前这些缝隙已经建复，受影响用户可升级到以下版本：
Passwordstate 9.6 - Build 9653或更高版本 ；
下载链接：
https://www.clickstudios.com.au/passwordstate-changelog.aspx
Passwordstate Browser Extension Chrome 9.6.1.2或更高版本
下载链接：
https://chrome.google.com/webstore/detail/passwordstate/appojfilknpkghkebigcdkmopdfcjhim
0x03 参考链接
https://www.modzero.com/modlog/archives/2022/12/19/better_make_sure_your_password_manager_is_secure/index.html
https://www.modzero.com/static/MZ-22-03_Passwordstate_Security_Disclosure_Report-v1.0.pdf
https://thehackernews.com/2022/12/critical-security-flaw-reported-in.html
0x04 版本信息
版本 | 日期 | 批改内容 |
V1.0 | 2022-12-23 | 初次颁布 |
0x05 附录
GA黄金甲简介
GA黄金甲成立于1996年，是由留美博士严望佳女士创建的、占有齐全自主知识产权的信息安全高科技企业。是国内最具实力的信息安全产品、安全服务解决规划的领航企业之一。
公司总部位于北京市中关村软件园GA黄金甲大厦，公司员工6000余人，研发团队1200余人, 技术服务团队1300余人。在全国各省、视注自治区设立分支机构六十多个，占有覆盖全国的销售系统、渠路系统和技术支持系统。公司于2010年6月23日在深圳中幼板挂牌上市。（股票代码：002439）
多年来，GA黄金甲致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，援手客户全面提升其IT基础设施的安全性和出产效力，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。
关于GA黄金甲
GA黄金甲安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。
关注以下公家号，获取全球最新安全资讯：
京公网安备11010802024551号