Plusieurs vuln\u00e9rabilit\u00e9s de haute gravit\u00e9 ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9es dans \u00c9tat du mot de passe<\/b> solution de gestion de mots de passe qui pourrait \u00eatre exploit\u00e9e par un adversaire distant non authentifi\u00e9 pour obtenir les mots de passe en clair d’un utilisateur.<\/p>\n
“Une exploitation r\u00e9ussie permet \u00e0 un attaquant non authentifi\u00e9 d’exfiltrer les mots de passe d’une instance, d’\u00e9craser tous les mots de passe stock\u00e9s dans la base de donn\u00e9es ou d’\u00e9lever leurs privil\u00e8ges au sein de l’application”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 suisse de cybers\u00e9curit\u00e9 modzero AG. m’a dit<\/a> dans un rapport publi\u00e9 cette semaine.<\/p>\n “Certaines des vuln\u00e9rabilit\u00e9s individuelles peuvent \u00eatre encha\u00een\u00e9es pour obtenir un shell sur le syst\u00e8me h\u00f4te Passwordstate et vider tous les mots de passe stock\u00e9s en texte clair, en commen\u00e7ant par rien de plus qu’un nom d’utilisateur valide.”<\/p>\n Passwordstate, d\u00e9velopp\u00e9 par une soci\u00e9t\u00e9 australienne nomm\u00e9e Click Studios, a plus de 29 000 clients<\/a> et est utilis\u00e9 par plus de 370 000 professionnels de l’informatique.<\/p>\n L’un des d\u00e9fauts affecte \u00e9galement \u00c9tat du mot de passe version 9.5.8.4<\/a> pour le navigateur Web Chrome. La derni\u00e8re version du module compl\u00e9mentaire de navigateur est la 9.6.1.2, qui a \u00e9t\u00e9 publi\u00e9e le 7 septembre 2022.<\/p>\n La liste des vuln\u00e9rabilit\u00e9s identifi\u00e9es par modzero AG est ci-dessous –<\/p>\n L’exploitation des vuln\u00e9rabilit\u00e9s pourrait permettre \u00e0 un attaquant connaissant un nom d’utilisateur valide d’extraire les mots de passe enregistr\u00e9s en texte clair, d’\u00e9craser les mots de passe dans la base de donn\u00e9es et m\u00eame d’\u00e9lever les privil\u00e8ges pour r\u00e9aliser l’ex\u00e9cution de code \u00e0 distance.<\/p>\n De plus, un flux d’autorisation incorrect (score CVSS\u00a0: 3,7) identifi\u00e9 dans l’extension de navigateur Chrome pourrait \u00eatre utilis\u00e9 pour envoyer tous les mots de passe \u00e0 un domaine contr\u00f4l\u00e9 par un acteur.<\/p>\n Dans une cha\u00eene d’attaque d\u00e9montr\u00e9e par modzero AG, un acteur malveillant pourrait falsifier un jeton d’API pour un compte administrateur et exploiter la faille XSS pour ajouter une entr\u00e9e de mot de passe malveillante afin d’obtenir un shell invers\u00e9 et r\u00e9cup\u00e9rer les mots de passe h\u00e9berg\u00e9s dans l’instance.<\/p>\n Il est recommand\u00e9 aux utilisateurs de mettre \u00e0 jour \u00c9tat de mot de passe 9.6 – Build 9653<\/a> publi\u00e9 le 7 novembre 2022 ou des versions ult\u00e9rieures pour att\u00e9nuer les menaces potentielles.<\/p>\n Passwordstate, en avril 2021, a \u00e9t\u00e9 victime d’une attaque de la cha\u00eene d’approvisionnement qui a permis aux attaquants de tirer parti du m\u00e9canisme de mise \u00e0 jour du service pour supprimer une porte d\u00e9rob\u00e9e sur les machines des clients.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1670949871_285_De-graves-attaques-auraient-pu-etre-mises-en-scene-via.png\")
<\/a><\/center><\/div>\n\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/Faille-de-securite-critique-signalee-dans-Passwordstate-Enterprise-Password-Manager.gif\")
<\/div>\n