באג קריטי בשומר, מנהל הסיסמאות של Windows 10

Keeper הוא שמו של מנהל הסיסמאות של Windows 10 שמגיע בחינם עם כל עותק חדש של Windows 10. למרבה הצער, פגם קריטי זוהה על ידי חוקר גוגל פרויקט אפס, Travis Ormandy, בגירסה החדשה של Keeper ולא תוקן על ידי כמעט שמונה ימים.

Keeper הוא מנהל הסיסמאות החינמי של Windows 10

'' יצרתי Windows 10 VM חדש עם תמונה נקייה מ- MSDN והבחנתי שמנהל סיסמאות של צד שלישי מותקן כברירת מחדל. לא לקח זמן רב למצוא פגיעות קריטית , " אמר אורמנדי.

באג Keeper נמצא בעותק טרי של Windows 10 שהורד מרשת המפתחים של מיקרוסופט, ואילו הגרסה הלא כלולה של אפליקציה זו כבר נחשפה לבאג זה כבר למעלה משנה.

עקב כשל זה, היישום הזרקתי ממשק משתמש מהימן לדפי אינטרנט לא מהימנים באמצעות סקריפט תוכן, וכתוצאה מכך האתרים הצליחו לגנוב אישורי משתמשים בטכניקת קליקים וטכניקות דומות אחרות.

כדי לבחון את הממצאים שלהם, אורמנדי שיחררה גם ניצול הוכחת מושג, שהראה שכאשר משתמש שמר את סיסמת הטוויטר שלו באפליקציית Keeper, קל היה לגנוב. מפתחים של מנהל סיסמאות זה פתרו את הבעיה תוך 24 שעות לאחר שאורמנדי שיתפה את ממצאיו. הם גם פרסמו עדכון אוטומטי לגרסה 11.3 של האפליקציה.

מפתחי Keeper טוענים כי אף אחת מההרחבות של האפליקציה לא נפגעה, אך נכון שהבאג נשאר שם שמונה ימים.

גופן של Hackread