В LastPass е отстранена уязвимост, която можеше да доведе до изтичане на данни

Миналата седмица разработчиците на популярния мениджър на пароли LastPass пуснаха актуализация, която отстранява уязвимост, която можеше да доведе до изтичане на потребителски данни. Проблемът беше обявен след като бе решен, а на потребителите на LastPass беше препоръчано да обновят мениджъра на пароли до последната версия.

Става въпрос за уязвимост, с помощта на която злонамерени лица можеха да откраднат данни, въведени от потребителя на последния посетен уебсайт. Проблемът беше открит миналия месец от Тавис Орманди (Tavis Ormandy), участник в проекта Google Project Zero, в рамките на който се провеждат изследвания в сферата на информационната безопасност.  

В момента LastPass е най-популярният мениджър на пароли. Разработчиците отстраниха споменатата уязвимост в версия 4.33.0, която стана достъпна на 12 септември. Ако потребителите не използват функцията за автоматично актуализиране на LastPass, им се препоръчва да изтеглят актуалната версия на софтуера ръчно. Трябва да се направи възможно най-бързо, тъй като след коригирането на уязвимостта изследователите публикуваха нейните подробности, които могат да бъдат използвани от злонамерени лица за кражба на пароли от устройства, на които приложението още не е обновено.

Експлоатацията на уязвимостта е свързана с изпълнението на злонамерен JavaScript код на целевото устройство, без никакво взаимодействие с потребителя. Злонамерените лица могат да примамват потребителите на злонамерени сайтове с цел кражба на автентификационни данни, съхранявани в мениджъра на пароли. Тавис Орманди смята, че е достатъчно лесно да се използва уязвимостта, тъй като злонамерените лица могат да маскират злонамерената връзка, подмамвайки потребителя да кликне върху нея за кражба на автентификационни данни, въведени на предишния сайт.

Представителите на LastPass не коментират тази ситуация. В момента не е известно за случаи, в които тази уязвимост е била използвана от злонамерени лица.

Източник: 3dnews.ru