パスワードマネージャー「KeePassXC」2.8.0を公開、複数のセキュリティ脆弱性を修正

KeePassXCは、データベースのインポート、ブラウザー連携、SSH鍵の処理、機密情報の保護に関わる複数の脆弱性を修正したバージョン2.8.0を公開しました。

10月21日に公開された今回のアップデートでは、8件のセキュリティ修正とプラットフォームの改善に加え、Qt 6への移行も実施されました。注目すべき点として、脆弱性の1件にはCVE-2026-69150が割り当てられており、ほかの4件はCVE番号の割り当て待ちです。

Securityflaw patching

KeePassXC 2.8.0を公開

Keepassxrebootによると、CVE-2026-69150は、細工されたKDBファイルをインポートする際に発生する解放後使用（use-after-free）の脆弱性です。研究者のA. Ramos氏が報告したもので、レガシーなデータベースのインポート処理に関係します。

今回のリリースでは、レガシーKDBインポーターの整数オーバーフローと境界外読み取りも修正されました。こちらは、NATOサイバーセキュリティセンターのViktor Markopoulos氏が報告したものです。2件の修正はいずれも、データベース処理中の安全でないメモリ操作を対象としています。

ブラウザー連携については、2件の重要なセキュリティ修正が含まれています。1件目は、ブラウザー拡張機能がエントリーを作成・更新する際のエントリー参照インジェクションを防ぐものです。

この脆弱性はDavonte氏（別名BadPingHere）が報告しました。ブラウザー経由のエントリー操作における参照の扱いに関するものです。

2件目は、ネイティブメッセージングの暗号化・復号時に発生する境界外書き込みの修正で、研究者のsigure21氏が報告しました。リリースノートでは、どちらもCVE-PENDINGと記載されています。

変更履歴には、これらの脆弱性の深刻度スコアや悪用に必要な条件、実際に悪用された形跡についての記載はありません。そのため、文書化されたメモリ破損の問題を、確認済みのリモートコード実行の脆弱性と安易に分類すべきではありません。

Windows版では、SSH鍵をPageantに渡す際の共有メモリマッピング名がランダム化されました。この変更は、同じくNATOサイバーセキュリティセンターのMarkopoulos氏が報告した別の問題に対処するもので、CVE番号は割り当て待ちです。

さらに、Windowsクリップボードから項目を除外する際に使うフォーマット名も修正されています。

新機能

このほか、保護された属性をSecret Serviceの属性一覧から除外し、zlibが使用するメモリから復号済みデータベースの断片を消去する処理も改善されました。

これらの変更により、連携インターフェースや一時的な処理バッファーにおける機密情報の扱いが強化されます。Secret Serviceの修正はKoda Reef氏、クリップボードの修正はByeWhiteLists氏が報告しました。

バージョン2.8.0では、セキュリティ修正のほかにも、リモートデータベースの同期、外部ツールによるインポート、キーボードショートカットの設定、RSA・ECDSA・Ed25519鍵の生成といった機能が加わりました。

Securityflaw patching

Linuxユーザー向けには、XDG Desktop Portals経由のWayland Auto-Type、Polkitベースのクイックアンロック、AArch64 AppImageが追加されています。Windowsユーザー向けには、ネイティブArm64ビルドと、特定の設定を強制するグループポリシーの上書き機能が提供されます。

そのほか、参照されるパスワードの強度評価、新しいパスキー保存時に選択中のデータベースを維持する動作、Secret Serviceのクラッシュ複数件の修正といった改善も行われました。

とくにレガシーKDBのインポート、ブラウザー連携、Pageantのワークフローを使っているユーザーは、優先的にアップグレードしてください。リリースノートには暫定的な回避策の記載がないため、修正版へのアップデートがこれらの問題に対する最も確実な対処法です。

MTTRを21分短縮し、被害が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに統合。