【误差通告】Click Studios PasswordState 12月多个清静误差

宣布时间 2022-12-23


0x00 误差概述

PasswordState 是澳大利亚Click Studios公司的一种外地企业密码治明确决计划，，，，，允许其用户存储、会见和共享敏感的密码信息。。

12月19日，，，，，研究职员果真披露了Passwordstate软件中的多个清静误差，，，，，乐成使用这些误差可能导致敏感信息泄露、权限提升或其它恶意操作。。

 

0x01 误差详情

其中3个已经分派CVE的误差详情如下：

CVE

类型

评分

说明

CVE-2022-3875

API验证绕过

9.1

该误差影响组件 API 中的某些代码，，，，，已知影响了Click Studios Passwordstate和Passwordstate   Browser Extension Chrome，，，，，该误差已经果真披露并可能被使用。。

CVE-2022-3876

通过用户控制的密钥绕过授权

6.5

该误差影响组件API的/api/browserextension/UpdatePassword/文件的一些未知处置惩罚，，，，，参数PasswordID的操作会导致绕过授权。。已知影响了Click Studios   Passwordstate和Passwordstate Browser Extension Chrome，，，，，该误差已经果真披露并可能被使用。。

CVE-2022-3877

跨站剧本误差（XSS）

5.7

组件URL字段处置惩罚程序的未知函数中保存存储型XSS误差。。已知影响了Click Studios Passwordstate和Passwordstate Browser Extension Chrome，，，，，该误差已经果真披露并可能被使用。。

 

另外4个暂未分派CVE-ID的误差包括：

l  效劳器端对称加密导致存储密码�；；；；なО埽–VSS评分6.0）；；；；

l  为API使用硬编码的紧迫凭证（CVSS评分5.3）；；；；

l  密码列表的凭证�；；；；と狈Γ–VSS评分4.3）；；；；

l  不准确的授权允许恶意用户控制的浏览器扩展设置（CVSS评分3.7）。。

恶意用户可以组合使用这些误差在Passwordstate 主机系统上获得一个shell，，，，，并以明文形式转储所有存储的密码、笼罩数据库中的密码，，，，，甚至提升权限以实现远程代码执行。。

 

影响规模

Passwordstate 9.5 - Build 9583及之前版本

Passwordstate Browser Extension Chrome版本9.5.8.4

 

0x02 清静建议

现在这些误差已经修复，，，，，受影响用户可升级到以下版本：

Passwordstate 9.6 - Build 9653或更高版本；；；；

下载链接：

https://www.clickstudios.com.au/passwordstate-changelog.aspx

Passwordstate Browser Extension Chrome 9.6.1.2或更高版本

下载链接：

https://chrome.google.com/webstore/detail/passwordstate/appojfilknpkghkebigcdkmopdfcjhim

 

0x03 参考链接

https://www.modzero.com/modlog/archives/2022/12/19/better_make_sure_your_password_manager_is_secure/index.html

https://www.modzero.com/static/MZ-22-03_Passwordstate_Security_Disclosure_Report-v1.0.pdf

https://thehackernews.com/2022/12/critical-security-flaw-reported-in.html

 

0x04 版本信息

版本

日期

修改内容

V1.0

2022-12-23

首次宣布

 

0x05 附录

人生就是博简介

人生就是博建设于1996年，，，，，是由留美博士严望佳女士建设的、拥有完全自主知识产权的信息清静高科技企业。。是海内最具实力的信息清静产品、清静效劳解决计划的领航企业之一。。

公司总部位于北京市中关村软件园人生就是博大厦，，，，，公司员工6000余人，，，，，研发团队1200余人, 手艺效劳团队1300余人。。在天下各省、市、自治区设立分支机构六十多个，，，，，拥有笼罩天下的销售系统、渠道系统和手艺支持系统。。公司于2010年6月23日在深圳中小板挂牌上市。。（股票代码：002439）

多年来，，，，，人生就是博致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳，，，，，资助客户周全提升其IT基础设施的清静性和生产效能，，，，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。

 

关于人生就是博

人生就是博清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。

关注以下公众号，，，，，获取全球最新清静资讯：

image.png