AgileBits 1Password 6.3.3の複数の脆弱性（macOS）

medium Nessus プラグイン ID 100956

Language:

概要

リモートホストにインストールされているパスワード管理アプリケーションは、複数の脆弱性の影響を受けます。

説明

リモート macOS または Mac OS X ホストにインストールされている AgileBits 1Password のバージョンは、6.3.3 と等しいです。したがって、以下の複数の脆弱性による影響を受けます。

- 使用されるデフォルトのプロトコルがHTTPに設定されている内部Webブラウザにセキュリティの弱点があります。ユーザーが完全なURLを指定せずにWebサイトを訪問する場合、より安全なHTTPSプロトコルが利用可能でも使用されることはありません。中間にいる攻撃者がこれを悪用し、秘密情報を漏洩する可能性があります。（SIK-2016-039）

- タイトルとURLの暗号化が不足しているため、パスワードマネージャーのデータベースにセキュリティの弱点があります。暗号化されたデータベースのコピーを入手できる攻撃者がこの脆弱性を悪用し、暗号化を破らずにユーザーが資格情報を保存しているWebサイトを漏洩する可能性があります。（SIK-2016-040）

- 標的のドメインをベンダーのWebサーバーに送信して、標的のWebサイトそれぞれを表すアイコンをサーバー側キャッシュから取得するため、パスワードマネージャーにセキュリティの弱点があります。この問題により、ユーザーがデータベースエントリを作成したすべてのサイトをベンダーが追跡する可能性があります。（SIK-2016-042）