Software-update: Vaultwarden 1.32.0

Bitwarden is een wachtwoordmanager die regelmatig op Tweakers voorbij komt. Het is opensource en heeft ook de mogelijkheid om het op een eigen server te draaien. Ontwikkelaar Daniel García heeft een onofficiële in Rust ontwikkelde implementatie van Bitwarden gemaakt, in eerste instantie onder de naam Bitwarden_rs maar sinds een paar jaar als Vaultwarden. Het gaat alleen om de serverkant van de wachtwoordmanager, voor de clients kan de officiële software van Bitwarden worden gebruikt. Vaultwarden is lichter in gebruik en heeft ook functionaliteit waarvoor bij Bitwarden moet worden betaald, waaronder het gebruik van organisaties. Versie 1.32.0 van Vaultwarden is uitgekomen en hierin zijn enkele belangrijke beveiligingsproblemen verholpen.

Security Fixes

This release has several CVE Reports fixed and we recommend everybody to update to the latest version as soon as possible.

• CVE-2024-39924 Fixed via #4715
• CVE-2024-39925 Fixed via #4837
• CVE-2024-39926 Fixed via #4737

Other changes

• Updated web-vault to v2024.6.2
• Fixed issues with password reset enrollment by rolling back a web-vault commit

What's Changed

• use a custom plan of enterprise tier to fix limits in #4726
• chore: Dockerfile to Remove port 3012 in #4725
• Fix bug where secureNotes is empty in #4730
• Improved HTTP client in #4740
• Update admin interface in #4737
• Fix for RSA Keys which are read only in #4744
• Fix Email 2FA login on native app in #4762
• Update crates & fix crate vulnerability in #4771
• Fix Dockerfile linter warnings in #4763
• allow re-invitations of existing users in #4768
• Allow to override log level for specific target in #4305
• Add support for MFA with Duo's Universal Prompt in #4637
• Allow to increase the note size to 100_000 in #4772
• Update Rust, Crates and GHA in #4783
• Duo: use the formatted db email in #4779
• Update rust-toolchain.toml to 1.80.0 in #4784
• fix issue with adding ciphers to organizations on native ios app in #4800
• Rewrite the Push Notifications section in the configuration template in #4805
• Secure send file uploads in #4810
• make access_all optional in #4812
• Remove lowercase conversion for featureStates in #4820
• Fix mail::send_incomplete_2fa_login panic issue in #4792
• Update crates, web-vault and fixes in #4823
• Updated web-vault to v2024.6.2b in #4826
• Update Rust to 1.80.1 in #4831
• Fix data disclosure on organization endpoints in #4837

Versienummer	1.32.0
Releasestatus	Final
Besturingssystemen	Linux
Website	Vaultwarden
Download	https://github.com/dani-garcia/vaultwarden/releases/tag/1.32.0
Licentietype	GPL

Reacties (15)

[zAo]

Al bijna 2 jaar naar volle tevredenheid gebruiker hiervan. Echt een aanrader als je zelf wilt hosten.

[Tweaker36]

Ik betaal $10 /jaar voor BW Premium (voor 2FA voor je logins) en $12 /jaar voor BW Families (voor sharing).
Ik ben heel blij met BitWarden en ik vind het dus niet erg om te betalen / te steunen, en voor dat bedrag wil ik ook het risico niet lopen dat ik iets verkeerd doe. BitWarden is hoogstwaarschijnlijk beter in staat mijn data veilig en beschikbaar te houden dan dat ik dat zelf kan.
Ik zou voorzichtig zijn met een dergelijke belangrijke service zelf te hosten.

[bytemaster460]

Het blijft een afweging. Je zet feitelijk je hele bestand met gebruikersnamen en wachtwoorden bij een externe partij neer. Je weet nooit zeker of ze er toegang tot hebben en wat er buitgemaakt kan worden bij een hack. Daarom willen veel mensen het toch thuis hosten.

[Bor]

Dat klopt maar je kan je ook afvragen hoeveel controle je nu echt hebt bij een thuis gehoste instance. Daar ben je ook in zekere mate afhankelijk van een leverancier, ook bij open source software. Een complete controle / audit van een nieuwe versie is praktisch niet mogelijk en veel mensen hebben de kennis daar ook niet voor.

[Dennisb1]

Waar krijg jij die family zo goedkoop?
Kost op de site $40 momenteel

[Reactie gewijzigd door Dennisb1 op 14 augustus 2024 15:35]

[Tweaker36]

Dat is het oude 2019 prijsmodel.
In het nieuwe model zit Premium voor de Family leden inbegrepen, in het oude niet. Maar dat hebben mijn leden ook niet nodig.

[Metoru]

Ik probeer via Docker dit op te zetten in Ubuntu, maar het lukt helaas niet helemaal. Kan ik je hulp verzoeken ?

[Tweaker36]

Als je al moeilijkheden ervaart met het opzetten vanaf 0, hoeveel vertrouwen heb je dat je het systeem zelf correct kan configureren, beveiligen, upgraden, backuppen, restoren, etc? Het kan fixen als het mis gaat?
Ik heb persoonlijk hetzelfde probleem en dat is de reden dat ik betaal voor een service. Omdat ik dan 99,999% zeker weet dat het goed gaat.

[Room42]

Open even een degelijk topic op het forum, daar kunnen we je beter helpen.

[DikkieDick]

Alleen als ik die 3 CVE-links aanklik staat er bij de beschrijving:

** RESERVED ** This candidate has been reserved by an organization or individual that will use it when announcing a new security problem. When the candidate has been publicized, the details for this candidate will be provided.

Dus daar word ik niet veel wijzer van.

Update: dit had ik willen plaatsen als reactie op de opmerking van @Bor .

[Reactie gewijzigd door DikkieDick op 13 augustus 2024 07:47]

[jmk]

volgens mij worden de CVE notes niet direct openbaar gemaakt zodat beheerder de kans hebben om te updaten voordat kwaadwillenden een kwetsbaarheid kunnen uitbuiten.

Ik weet er het fijne niet van, maar dit zag ik laatst bij 1 van de release notes van Firefly III, wat ik ook host binnen mijn HA.

[DikkieDick]

Aha. Dat is idd wel zo verstandig. Thanx.

[CheckItOut]

Leuk dat jullie deze hier ook tracken! Voor de selfhosters zeker een aanrader. Je vault data zit in de database nog steeds encrypted met je vaultkey, dus ook relatief safe elders te hosten.

[Bor]

Een drietal CVE's worden met deze update aangepakt. De rest van de changes zijn niet zo heel spannend. Updaten wordt vooral aangeraden vanuit veiligheidsoogpunt.