Tweakers · Technologie

Software-update voor Vaultwarden met belangrijke beveiligingsfixes

Vaultwarden, een lichtgewicht serverimplementatie van de Bitwarden-wachtwoordmanager, heeft een nieuwe update ontvangen, versie 1.37.4. Deze update brengt diverse beveiligingsverbeteringen aan.

De update bevat beveiligingsfixes voor zeven kwetsbaarheden, waaronder het intrekken van organisatieleden (High, 8.1), tweefactorauthenticatie (Medium, 6.8), organisatie-uitnodigingen (Medium, 6.8), bijlagen (Medium, 6.5), organisatie-eventlogs (Medium, 4.3), cipher-deling (Medium, 4.3) en organisatie-API-sleutels (Low, 3.8). Er zijn ook aanvullende afhankelijkheidsupdates en kleine beveiligingsverbeteringen doorgevoerd.

Gebruikers wordt aangeraden zo snel mogelijk te updaten. Na de update wordt geadviseerd de API-sleutel van een organisatie te roteren als de beheerders niet volledig vertrouwd worden.

Voor reverse proxies die IP_HEADER=X-Forwarded-For gebruiken, is het client-IP nu het meest rechtse adres dat niet in IP_HEADER_TRUSTED_PROXIES staat. Meerdere proxies op een rij vereisen dat al deze proxies worden toegevoegd aan IP_HEADER_TRUSTED_PROXIES.

De functionaliteit 'bw send receive' op CLI-versies 2026.4.2 en ouder werkt niet meer, vergelijkbaar met de wijzigingen bij Bitwarden's eigen servers sinds v2026.8.0. Het aanmaken en beheren van 'Sends' blijft wel mogelijk op alle clients.

Diverse feature flags zijn verwijderd omdat geen enkele client ze meer gebruikt, waaronder flags gerelateerd aan SSH-agent, SSH-key vault-item, mutual TLS, en biometrische authenticatie voor desktop-clients. Een waarschuwing wordt gelogd bij het opstarten als een van deze flags nog steeds actief is.

De verouderde 'Traditional Prompt' voor Duo is verwijderd. Een nieuwe e-mailtemplate, 'email/recover_twofactor', wordt nu verzonden na een login met een tweestaps-herstelcode. De legacy POST-endpoints /identity/accounts/register en /api/accounts/prelogin zijn eveneens verwijderd, aangezien geen enkele client ze nog gebruikt.

AI-samenvatting op basis van de bron.