Миналата седмица разработчиците на популярния мениджър на пароли LastPass пуснаха актуализация, която отстранява уязвимост, която можеше да доведе до изтичане на потребителски данни. Проблемът беше обявен след неговото решаване, а на потребителите на LastPass беше препоръчано да актуализират мениджъра на пароли до последната версия.
Става въпрос за уязвимост, с помощта на която злонамерени лица можеха да откраднат данни, въведени от потребителя на последно посетения уебсайт. Проблемът беше открит миналия месец от Тавис Орманди (Tavis Ormandy), член на проекта Google Project Zero, в рамките на който се провеждат изследвания в сферата на информационната сигурност.
В момента LastPass е най-популярният мениджър на пароли. Разработчиците отстраниха упоменатата по-рано уязвимост в версия 4.33.0, която беше пусната на 12 септември. Ако потребителите не използват функцията за автоматично обновление на LastPass, им се препоръчва да изтеглят актуалната версия на софтуера ръчно. Трябва да се направи възможно най-бързо, тъй като след коригирането на уязвимостта изследователите публикуваха подробности за нея, които могат да бъдат използвани от злонамерени лица за кражба на пароли от устройства, на които приложението все още не е било обновено.
Експлоатацията на уязвимостта е свързана с изпълнението на злонамерен JavaScript код на целевото устройство, без никакво взаимодействие с потребителя. Злонамерени лица могат да примамват потребители към злонамерени сайтове с цел кражба на идентификационни данни, съхранявани в мениджъра на пароли. Тавис Орманди счита, че експлоатирането на уязвимостта е достатъчно просто, тъй като злонамерени лица могат да маскират злонамерена връзка, измамно накарайки потребителя да кликне върху нея, за да крадат идентификационни данни, които са били въведени на предходния сайт.
Представители на LastPass не коментират тази ситуация. Към момента не е известно за случаи, в които тази уязвимост е била използвана от злонамерени лица.
Източник: 3dnews.ru
