BSI Bericht: Sicherheitslücken im Passwortmanager Vaultwarden

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat kürzlich eine detaillierte Codeanalyse des Open-Source-Passwortmanagers Vaultwarden durchgeführt. Dabei wurden vier Sicherheitslücken identifiziert, die das Vertrauen in die Sicherheit des Tools infrage stellen. Besonders schwerwiegend ist die unzureichende Schlüsselrotation sowie Schwächen bei der Trennung von Sitzungen, wodurch es Angreifern möglich sein könnte, auf sensible Informationen zuzugreifen. Zudem besteht ein Risiko durch HTML-Injection-Angriffe, die das Einschleusen bösartiger Inhalte ermöglichen könnten.

Vaultwarden, bekannt für seine schlanke Alternative zu Bitwarden, speichert und verwaltet Passwörter lokal, ohne große Anforderungen an Serverressourcen. Doch die vom BSI aufgedeckten Schwachstellen zeigen, dass selbst weit verbreitete Open-Source-Lösungen nicht vor Sicherheitslücken gefeit sind.

Die entdeckten Schwachstellen im Detail:

1. Unzureichende Schlüsselrotation: Schlüssel, die zur Verschlüsselung und Authentifizierung verwendet werden, werden nicht regelmäßig erneuert. Dies kann die Datensicherheit bei langfristiger Nutzung gefährden.
2. HTML-Injection: Eine HTML-Injection-Schwachstelle wurde entdeckt, die Angreifern ermöglicht, bösartigen Code in die Anwendung einzuschleusen, potenziell auch zur Manipulation von Benutzeroberflächen.
3. Mangelhafte Sitzungstrennung: Angreifer könnten auf eine bestehende Sitzung zugreifen und diese ausnutzen, um Informationen zu extrahieren, ohne dass eine erneute Authentifizierung erforderlich wäre.
4. Sicherheitslücken bei der Zugriffskontrolle: Die Mechanismen zur Zugriffskontrolle weisen Mängel auf, was zu unautorisiertem Zugriff auf vertrauliche Daten führen könnte.

Das BSI betont, dass die Behebung dieser Schwachstellen dringend notwendig ist, um Vaultwarden sicher zu machen. Da Passwortmanager eine zentrale Rolle im Schutz sensibler Informationen spielen, ist ihre Sicherheit essenziell. Open-Source-Lösungen wie Vaultwarden sollten kontinuierlich auf Schwachstellen überprüft und entsprechend aktualisiert werden, um den Anforderungen an moderne IT-Sicherheit gerecht zu werden.

Für IT-Experten und Nutzer des Passwortmanagers empfiehlt das BSI, die betroffenen Versionen von Vaultwarden schnellstmöglich zu aktualisieren und regelmäßige Sicherheitsprüfungen durchzuführen. Die vollständige Analyse des BSI kann hier eingesehen werden.