Vaultwarden 및 Keepass의 보안 분석 - Vaultwarden 사용자 필독!!!

Vaultwarden을 사용하시는 사용자라면 꾸준하게 패치만 잘해주셔도 됩니다.

https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldungen/Codeanalyse-KeePass-Vaultwarden_241014.html

요약:

그들은 광범위한 pw 관리자를 살펴보지 않았습니다. KeePass (다른 "포크"는 없음)와 Vaultwarden 에서만 보았습니다 .

Vaultwarden에는 보안 결함이 2개 있었지만, VW 팀에 보고되었고 빠르게 수정되었습니다. 현재 VW 버전에는 이러한 결함이 없습니다.

2024년 8월 11일 기준 Vaultwarden 버전 1.32.0 이후에 수정되었습니다. 

CVE-2024-39924

Vaultwarden(이전 Bitwarden_RS) 1.30.3에서 문제가 발견되었습니다. 비상 액세스의 메타데이터를 변경하는 엔드포인트의 인증 및 권한 부여 프로세스에서 취약점이 발견되었습니다. 비상 액세스가 부여된 공격자는 액세스 수준을 변경하고 대기 시간을 수정하여 권한을 확대할 수 있습니다. 결과적으로 공격자는 필요한 대기 기간을 우회하면서 볼트에 대한 전체 제어권을 얻을 수 있습니다(읽기 액세스만 하려는 경우).

CVE-2024-39925

Vaultwarden(이전 Bitwarden_RS) 1.30.3에서 문제가 발견되었습니다. 조직을 떠나는 멤버에 대한 오프보딩 프로세스가 없습니다. 결과적으로 공유 조직 키는 멤버가 떠나도 회전되지 않습니다. 결과적으로 액세스 권한이 취소되어야 하는 떠나는 멤버는 조직 키 사본을 보관합니다. 또한 애플리케이션은 서버에 저장된 일부 암호화된 데이터를 적절하게 보호하지 못합니다. 결과적으로 인증된 사용자는 대상 조직의 멤버가 아니더라도 모든 조직의 암호화된 데이터에 무단으로 액세스할 수 있습니다. 그러나 사용자는 해당 organizationId를 알아야 합니다. 따라서 조직에 대한 액세스 권한이 취소된 사용자가 이미 조직 키를 소유하고 있는 경우 해당 사용자는 키를 사용하여 유출된 데이터를 해독할 수 있습니다.

CVE-2024-39926

Vaultwarden(이전 Bitwarden_RS) 1.30.3에서 문제가 발견되었습니다. 저장된 크로스 사이트 스크립팅(XSS) 또는 기본 CSP로 인해 HTML 주입 취약성이 관리자 대시보드에서 발견되었습니다. 이를 통해 인증된 공격자가 대시보드에 악성 코드를 주입할 수 있으며, 주입된 콘텐츠를 볼 때 관리자의 브라우저 컨텍스트에서 실행되거나 렌더링됩니다. 그러나 애플리케이션의 기본 콘텐츠 보안 정책(CSP)이 대부분의 악용 경로를 차단하여 잠재적 영향을 크게 완화한다는 점에 유의하는 것이 중요합니다.

https://www.reddit.com/r/selfhosted/comments/1g4t9re/security_analysis_of_vaultwarden_and_keepass/