Im Rahmen des Projektes zur „Codeanalyse von Open Source Software“ (CAOS 3.0) hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Passwort-Manager KeePass und Vaultwarden auf ihre Sicherheitseigenschaften untersucht.
Bei der Prüfung seien bei Vaultwarden zwei Sicherheitslücken mit der Einstufung “hoch” identifiziert worden, teilt das BSI mit. Das Projekt CAOS soll prinzipiell dabei helfen, häufige Schwachstellen und Risiken zu ermitteln und zu beseitigen. Das BSI überprüfte nach eigenen Angaben mit der Mgm Security Partners GmbH den Quellcode der beiden Passwort-Manager auf mögliche Mängel. Dabei gefundene Schwachstellen hat das BSI im Rahmen eines Responsible-Disclosure-Verfahrens den Entwicklern mitgeteilt. Diese hätten die Schwachstellen analysiert und bereits reagiert, teilt das BSI mit. Bei den nun veröffentlichten Ergebnissen für KeePass (PDF) und Vaultwarden (PDF) handelt es sich um eine Kombination aus Sourcecode Review, dynamischer Analyse und Schnittstellenanalyse in den Bereichen Netzwerkschnittstellen, Protokolle und Standards.
In Kooperation mit der Mgm Security Partners GmbH hat das BSI das Projekt CAOS im Jahr 2021 gestartet. Aufgabe des Projekts ist die Schwachstellenanalyse mit dem Ziel, die Sicherheit von Open Source Software zu erhöhen. Das Projekt soll Entwicklern bei der Erstellung sicherer Softwareanwendungen unterstützen und das Vertrauen in Open Source Software steigern. Der Fokus liegt auf Anwendungen, die vermehrt von Behörden oder Privatpersonen genutzt werden.
