LastPassis lahendati haavatavus, mis võis viia andmelekkeni

Eelmisel nädalal vabastasid populaarse paroolihalduri LastPass arendajad uuenduse, mis kõrvaldab haavatavuse, mis võis viia kasutajate andmete lekkimiseni. Probleemist teatati pärast selle lahendamist ning LastPassi kasutajatele soovitati värskendada paroolihaldurit viimasele versioonile.

Jutt käib haavatavusest, kasutades mida kurjategijad said varastada andmeid, mida kasutaja sisestas viimati külastatud veebisaidile. Probleemi avastas eelmisel kuul Tavis Ormandy, kes on Google Project Zero projekti liige, kus uuritakse infotehnoloogia turvalisust.  

Praegu on LastPass kõige populaarsem paroolihaldur. Arendajad kõrvaldasid varem mainitud haavatavuse versioonis 4.33.0, mis ilmus avalikuks 12. septembril. Kui kasutajad ei kasuta LastPassi automaatse värskendamise funktsiooni, siis neile soovitatakse alla laadida uus versioon käsitsi. Seda tuleks teha võimalikult kiiresti, kuna pärast haavatavuse parandamist avaldasid teadlased selle üksikasjad, mida kurjategijad võivad kasutada paroolide varastamiseks seadmetelt, kus rakendust pole veel värskendatud.

Haavatavuse ekspluateerimine on seotud pahatahtliku JavaScripti koodi täitmisega sihtseadmest, ilma et kasutaja oleks mingil moel kaasatud. Kurjategijad võivad ahvatleda kasutajaid pahatahtlikele saitidele, et varastada paroolihalduris salvestatud sisselogimisdaten. Tavis Ormandy usub, et haavatavuse kasutamine on piisavalt lihtne, kuna kurjategijad saavad maskeerida pahatahtlikku linki, petta kasutajat selle peale klikitama, et varastada andmeid, mis olid sisestatud eelmisel saidil.

LastPassi esindajad ei kommenteeri olukorda. Praegu ei ole teada juhtumeid, kus kurjategijad oleksid seda haavatavust kasutanud.

Allikas: 3dnews.ru