В KeePassXC 2.8.0 устранены уязвимости, связанные с импортом баз данных, браузерной интеграцией и передачей SSH-ключей. KeePassXC - менеджер паролей с открытым исходным кодом, который хранит учётные данные в зашифрованном файле. Вендор подтвердил проблему в устаревшем импорте баз KDB, остальные исправления касаются обработки памяти и служебных интерфейсов. Затронуты те, кто импортирует старые базы, пользуется расширением браузера или передаёт ключи в Pageant на Windows.
Подтверждённые уязвимости и статус присвоения CVE
Идентификатор CVE-2026-69150 вендор присвоил только одной проблеме - обращению к освобождённой памяти при импорте специально сформированного файла KDB. Несколько других исправлений помечены как ожидающие идентификатора. Оценку CVSS вендор не приводит: в списке изменений нет ни числа, ни уровня. Сведений об эксплуатации в реальных атаках также нет, поэтому публикация исправлений означает раскрытие технических деталей, а не подтверждённое использование.
Импорт устаревших баз KDB
Первая проблема - обращение к освобождённой памяти (use-after-free): программа продолжает работать с участком памяти, который уже вернула системе. Ошибка возникает в устаревшем пути импорта KDB, если открыть подготовленный файл. В том же импортере исправлены целочисленное переполнение и чтение за границами буфера, то есть выход за пределы выделенного участка памяти. Условия эксплуатации вендор не описывает. Список изменений не приводит предварительных требований, поэтому ошибки работы с памятью нельзя автоматически считать подтверждённым удалённым выполнением кода.
Браузерная интеграция и передача ключей
Две правки относятся к расширению браузера. Первая блокирует внедрение ссылок на записи при создании или обновлении записи через расширение: ссылка на запись - конструкция, которая подставляет данные другой записи. Вторая устраняет записи за границами буфера при шифровании и расшифровке сообщений, которыми расширение обменивается с приложением. Такой обмен называют native messaging - передача сообщений между расширением и программой.
Отдельно на Windows имена разделяемой памяти при отправке SSH-ключей в Pageant теперь случайны. Pageant - агент SSH для Windows: он держит ключи в памяти и подписывает данные по запросу. Случайные имена усложняют обращение к этой области памяти из другого процесса. Условия атаки для этой правки вендор тоже не уточняет.
Хранение секретов и буфер обмена
Ещё несколько исправлений касаются защиты чувствительных данных. Служба Secret Service в Linux перестала показывать защищённые атрибуты в общем перечне. Windows теперь корректно применяет формат имени для исключения данных из буфера обмена. Полнее стала очистка расшифрованных фрагментов базы из памяти, которую использует библиотека сжатия zlib.
Помимо исправлений, версия 2.8.0 приносит новые возможности. Появилась генерация ключей SSH типов RSA, ECDSA и Ed25519, настройка сочетаний клавиш и синхронизация базы с внешними инструментами. На Linux добавлен автонабор на Wayland через порталы рабочего стола, на Windows - сборки под Arm64 и переопределение части настроек групповыми политиками. Выпуск также переведён на Qt 6, новую ветку библиотеки интерфейса.
Что делать
Исправление вышло в версии 2.8.0 от 21 октября. Обходных мер вендор не называет, поэтому прямой путь один - обновление до этой версии. Обновиться важнее тем, кто импортирует старые базы KDB, пользуется расширением браузера и передаёт ключи в Pageant на Windows.
Оценки серьёзности вендор не приводит, случаев эксплуатации не зафиксировано. Приоритет обновления зависит от того, какие из перечисленных функций включены в конкретной установке. Для установок с импортом KDB и браузерной интеграцией версия 2.8.0 снимает наиболее заметные риски.
Ссылки
