【漏洞通告】Click Studios PasswordState 12月多个安全漏洞
发布时间 2022-12-230x00 漏洞概述
PasswordState 是澳大利亚Click Studios公司的一种本地企业密码管理解决方案，允许其用户存储、访问和共享敏感的密码信息。
12月19日，研究人员公开披露了Passwordstate软件中的多个安全漏洞，成功利用这些漏洞可能导致敏感信息泄露、权限提升或其它恶意操作。
0x01 漏洞详情
其中3个已经分配CVE的漏洞详情如下：
CVE | 类型 | 评分 | 说明 |
CVE-2022-3875 | API验证绕过 | 9.1 | 该漏洞影响组件 API 中的某些代码，已知影响了Click Studios Passwordstate和Passwordstate Browser Extension Chrome，该漏洞已经公开披露并可能被利用。 |
CVE-2022-3876 | 通过用户控制的密钥绕过授权 | 6.5 | 该漏洞影响组件API的/api/browserextension/UpdatePassword/文件的一些未知处理，参数PasswordID的操作会导致绕过授权。已知影响了Click Studios Passwordstate和Passwordstate Browser Extension Chrome，该漏洞已经公开披露并可能被利用。 |
CVE-2022-3877 | 跨站脚本漏洞（XSS） | 5.7 | 组件URL字段处理程序的未知函数中存在存储型XSS漏洞。已知影响了Click Studios Passwordstate和Passwordstate Browser Extension Chrome，该漏洞已经公开披露并可能被利用。 |
另外4个暂未分配CVE-ID的漏洞包括：
l 服务器端对称加密导致存储密码保护失败（CVSS评分6.0）；
l 为API使用硬编码的紧急凭证（CVSS评分5.3）；
l 密码列表的凭据保护不足（CVSS评分4.3）；
l 不正确的授权允许恶意用户控制的浏览器扩展设置（CVSS评分3.7）。
恶意用户可以组合利用这些漏洞在Passwordstate 主机系统上获得一个shell，并以明文形式转储所有存储的密码、覆盖数据库中的密码，甚至提升权限以实现远程代码执行。
影响范围
Passwordstate 9.5 - Build 9583及之前版本
Passwordstate Browser Extension Chrome版本9.5.8.4
0x02 安全建议
目前这些漏洞已经修复，受影响用户可升级到以下版本：
Passwordstate 9.6 - Build 9653或更高版本；
下载链接：
https://www.clickstudios.com.au/passwordstate-changelog.aspx
Passwordstate Browser Extension Chrome 9.6.1.2或更高版本
下载链接：
https://chrome.google.com/webstore/detail/passwordstate/appojfilknpkghkebigcdkmopdfcjhim
0x03 参考链接
https://www.modzero.com/modlog/archives/2022/12/19/better_make_sure_your_password_manager_is_secure/index.html
https://www.modzero.com/static/MZ-22-03_Passwordstate_Security_Disclosure_Report-v1.0.pdf
https://thehackernews.com/2022/12/critical-security-flaw-reported-in.html
0x04 版本信息
版本 | 日期 | 修改内容 |
V1.0 | 2022-12-23 | 首次发布 |
0x05 附录
公司简介
启明星辰成立于1996年，是由留美博士严望佳女士创建的、拥有完全自主知识产权的信息安全高科技企业。是国内最具实力的信息安全产品、安全服务解决方案的领航企业之一。
公司总部位于北京市中关村软件园启明星辰大厦，公司员工6000余人，研发团队1200余人, 技术服务团队1300余人。在全国各省、市、自治区设立分支机构六十多个，拥有覆盖全国的销售体系、渠道体系和技术支持体系。公司于2010年6月23日在深圳中小板挂牌上市。（股票代码：002439）
多年来，启明星辰致力于提供具有国际竞争力的自主创新的安全产品和最佳实践服务，帮助客户全面提升其IT基础设施的安全性和生产效能，为打造和提升国际化的民族信息安全产业领军品牌而不懈努力。
关于我们
启明星辰安全应急响应中心主要针对重要安全漏洞的预警、跟踪和分享全球最新的威胁情报和安全报告。
关注以下公众号，获取全球最新安全资讯：
京公网安备11010802024551号