Fecha: 28 de agosto de 2025
El administrador de contraseñas empresarial Passwordstate, utilizado por más de 29,000 clientes y 370,000 profesionales de seguridad en todo el mundo, enfrenta una vulnerabilidad de alta gravedad que podría permitir a atacantes obtener acceso administrativo a las bóvedas de credenciales más privilegiadas de las organizaciones.
¿Qué está pasando con Passwordstate?
Click Studios, la empresa australiana creadora de Passwordstate, ha alertado a sus usuarios sobre una vulnerabilidad de omisión de autenticación que puede ser explotada mediante una URL especialmente diseñada. Esta URL da acceso a la página de Acceso de Emergencia del producto, desde donde un atacante podría ingresar a la sección administrativa del gestor de contraseñas sin necesidad de autenticarse.
Aunque aún no se ha asignado un identificador CVE a esta falla, la gravedad es alta debido al riesgo que implica el acceso no autorizado a credenciales críticas.
¿Por qué es tan importante esta vulnerabilidad?
Passwordstate está diseñado para proteger las "joyas de la corona" de las empresas: las credenciales privilegiadas que permiten controlar sistemas, redes y aplicaciones críticas. Entre sus funcionalidades se incluyen:
- Integración con Active Directory para gestionar cuentas de usuario.
- Gestión de restablecimiento de contraseñas.
- Auditoría de eventos y control de accesos.
- Inicio de sesión remoto seguro.
Un acceso no autorizado a la administración de Passwordstate podría comprometer toda esta información sensible, poniendo en riesgo la seguridad de la organización.
Actualización y mejoras de seguridad
El jueves 27 de agosto de 2025, Click Studios lanzó una actualización que corrige esta vulnerabilidad junto con otra relacionada con la extensión del navegador, que ahora cuenta con mayor protección contra secuestro de clics en sitios web comprometidos.
La versión que corrige estos problemas es la 9.9 build 9972. Se recomienda encarecidamente a todos los usuarios de Passwordstate que actualicen a esta versión lo antes posible para evitar posibles ataques.
Contexto histórico: un precedente preocupante
Esta no es la primera vez que Passwordstate enfrenta problemas de seguridad graves. En 2021, Click Studios sufrió una brecha que permitió a atacantes comprometer el mecanismo de actualización del software, instalando una versión maliciosa que operaba solo en memoria, dificultando su detección.
Esa brecha resultó en el robo de registros de contraseñas y ataques de phishing dirigidos a clientes afectados. La falta de actualizaciones claras posteriores generó preocupación en la comunidad de usuarios.
¿Qué debes hacer ahora?
- Actualiza Passwordstate a la versión 9.9 build 9972 inmediatamente.
- Revisa los accesos y auditorías para detectar cualquier actividad sospechosa.
- Considera restablecer las contraseñas almacenadas si sospechas que tu sistema pudo haber sido comprometido.
- Mantente atento a futuras comunicaciones oficiales de Click Studios.
Referencias
- Dan Goodin, "Vulnerabilidad de alta gravedad en el administrador de credenciales de Passwordstate. Aplicar parche ahora", 28 de agosto de 2025.
- Sitio oficial de Click Studios
- Reportes históricos sobre brechas de Passwordstate (2021).
Conclusión
La seguridad de las credenciales privilegiadas es fundamental para la protección de cualquier organización. Esta vulnerabilidad en Passwordstate representa un riesgo serio que debe ser atendido con urgencia. La actualización inmediata es la mejor defensa para evitar que atacantes accedan a información crítica.
Comentarios
Publicar un comentario