Een kritieke kwetsbaarheid in de wachtwoordmanager Passwordstate maakt het mogelijk voor aanvallers om de wachtwoorden van gebruikers te stelen. Alleen het weten van een gebruikersnaam is voldoende, authenticatie of interactie van gebruikers is niet vereist. Click Studios, de ontwikkelaar van Passwordstate, heeft inmiddels een beveiligingsupdate uitgebracht.

Passwordstate is een on-premise webgebaseerde oplossing voor zakelijk wachtwoordbeheer. Organisaties moeten die op een eigen server installeren. Via de wachtwoordmanager kunnen medewerkers wachtwoorden opslaan en delen. Dit moet het bijvoorbeeld eenvoudiger voor teams maken om wachtwoorden uit te wisselen of teamleden van de benodigde inloggegevens te voorzien. Volgens Click Studios wordt de wachtwoordmanager door 29.000 klanten en 370.000 it-professionals wereldwijd gebruikt, waaronder Fortune 500-bedrijven.

Passwordstate biedt verschillende API's om met de wachtwoordenkluis te communiceren. Onderzoekers van Modzero ontdekten dat het mogelijk is voor een ongeauthenticeerde aanvaller om de authenticatie van de API te omzeilen. Alleen het weten van een gebruikersnaam is voldoende om opslagen wachtwoorden, one-time passwords, wachtwoordenlijsten en andere 'secrets' van de gebruiker op te vragen. "Vanwege de ontbrekende end-to-end encryptie van wachtwoorden, zijn wachtwoorden via deze aanval in cleartext te achterhalen", aldus de onderzoekers.

De impact van de kwetsbaarheid, aangeduid als CVE-2022-3875, is op een schaal van 1 tot en met 10 beoordeeld met een 9.1. De onderzoekers van Modzero vonden ook verschillende andere kwetsbaarheden in de wachtwoordmanager, maar die zijn minder ernstig van aard. Click Studios werd op 19 augustus van dit jaar over de beveiligingslekken ingelicht. Op 5 september werd de kritieke kwetsbaarheid verholpen. Organisaties wordt dan ook aangeraden om hun software te updaten.

Vorig jaar werd Click Studios het slachtoffer van een supply-chain-aanval. Het lukte aanvallers om het updatemechanisme van de wachtwoordmanager te compromitteren en zo een update te verspreiden die klanten met malware genaamd 'Moserpass' infecteerde.