In der letzten Woche haben die Entwickler des beliebten Passwortmanagers LastPass ein Update veröffentlicht, das eine Sicherheitsanfälligkeit behebt, die zu einem Datenleck führen könnte. Das Problem wurde bekannt gegeben, nachdem es behoben wurde, und LastPass-Nutzer wurden aufgefordert, den Passwortmanager auf die neueste Version zu aktualisieren.
Es handelt sich um eine Schwachstelle, bei der Angreifer die Daten stehlen konnten, die der Nutzer auf der zuletzt besuchten Website eingegeben hat. Das Problem wurde im letzten Monat von Tavis Ormandy, einem Mitglied des Google Project Zero, entdeckt, innerhalb dessen Sicherheitsforschung betrieben wird.
Derzeit ist LastPass der beliebteste Passwortmanager. Die Entwickler haben die zuvor genannte Schwachstelle in der Version 4.33.0 behoben, die am 12. September veröffentlicht wurde. Wenn Benutzer die Funktion für automatische Updates von LastPass nicht nutzen, wird ihnen empfohlen, die aktuelle Softwareversion manuell herunterzuladen. Dies sollte so schnell wie möglich geschehen, da nach der Behebung der Schwachstelle Forscher detaillierte Informationen veröffentlicht haben, die von Angreifern verwendet werden können, um Passwörter von Geräten zu stehlen, auf denen die Anwendung noch nicht aktualisiert wurde.
Die Ausnutzung der Schwachstelle hängt mit der Ausführung von schädlichem JavaScript-Code auf dem Zielgerät zusammen, ohne dass der Nutzer eingreifen muss. Angreifer können Nutzer auf schadhafte Websites locken, um Zugangsdaten, die im Passwortmanager gespeichert sind, zu stehlen. Tavis Ormandy ist der Meinung, dass die Nutzung der Sicherheitsanfälligkeit relativ einfach ist, da Angreifer den schädlichen Link maskieren können, um den Nutzer dazu zu bringen, darauf zu klicken und die eingegebenen Anmeldedaten zu stehlen.
Vertreter von LastPass kommentieren die Situation nicht. Derzeit sind keine Fälle bekannt, in denen diese Schwachstelle von Angreifern ausgenutzt wurde.
Quelle: 3dnews.ru
