Minulý týden vývojáři populárního správce hesel LastPass vydali aktualizaci, která odstraňuje zranitelnost, jež mohla vést k úniku uživatelských dat. O problému bylo oznámeno po jeho vyřešení a uživatelům LastPass bylo doporučeno aktualizovat správce hesel na poslední verzi.
Jedná se o zranitelnost, pomocí které mohli útočníci ukrást data zadaná uživateli na poslední navštívené webové stránce. Problém byl odhalen minulý měsíc Tavisem Ormandym, členem projektu Google Project Zero, který se věnuje výzkumu v oblasti informační bezpečnosti.
V současnosti je LastPass nejpopulárnějším správcem hesel. Vývojáři odstranili zmíněnou zranitelnost ve verzi 4.33.0, která byla zveřejněna 12. září. Pokud uživatelé nevyužívají funkci automatického aktualizování LastPass, doporučuje se stáhnout si aktuální verzi softwaru ručně. Je potřeba to udělat co nejdříve, protože po opravě zranitelnosti byly publikovány její podrobnosti, které mohou být zneužity útočníky k krádeži hesel z zařízení, na kterých aplikace ještě nebyla aktualizována.
Exploatace zranitelnosti je spojena s prováděním škodlivého kódu JavaScript na cílovém zařízení, bez jakéhokoli interakce s uživateli. Útočníci mohou lákat uživatele na škodlivé stránky s cílem odcizit přihlašovací údaje uložené ve správci hesel. Tavis Ormandy se domnívá, že zranitelnost je dost snadno zneužitelná, protože útočníci mohou zamaskovat škodlivý odkaz a klamat uživatele, aby na něj klikli, čímž získají přihlašovací údaje, které byly zadány na předchozí stránce.
Zástupci LastPass situaci nekomentují. V tuto chvíli nejsou známy žádné případy, kdy byla tato zranitelnost zneužita útočníky.
Zdroj: 3dnews.ru
