Eelmisel nädalal vabastas populaarse paroolihalduri LastPass arendajad värskenduse, mis kõrvaldas haavatavuse, mis oleks võinud viia kasutajate andmete lekkimiseni. Probleemist teatati pärast seda, kui see oli lahendatud, ning LastPassi kasutajatele soovitati värskendada paroolihaldurit viimasele versioonile.
Räägime haavatavusest, mille abil said kurjategijad varastada andmeid, mida kasutaja sisestas viimaselt külastatud veebilehelt. Probleemi avastas eelmisel kuul Tavis Ormandy, kes on Google Project Zero projekti liige, mille raames viiakse läbi teadusuuringuid küberjulgeoleku alal.
Praegu on LastPass kõige populaarsem paroolihaldur. Arendajad kõrvaldasid ülalkirjeldatud haavatavuse versioonis 4.33.0, mis avaldati 12. septembril. Kui kasutajad ei kasuta LastPassi automaatse värskendamise funktsiooni, soovitatakse neil alla laadida tarkvara uusim versioon käsitsi. Seda tuleks teha nii kiiresti kui võimalik, kuna pärast haavatavuse parandamist avaldasid teadlased selle üksikasjad, mida võivad kurjategijad kasutada paroolide varastamiseks seadmetelt, mille rakendust ei ole veel värskendatud.
Haavatavuse ärakasutamine on seotud pahatahtliku JavaScripti koodi täitmisega sihtseadmest, ilma et kasutaja peaks millegagi suhtlema. Kurjategijad võivad meelitada kasutajaid pahatahtlikele veebilehtedele, et varastada paroolihalduris salvestatud autentimisandmeid. Tavis Ormandy usub, et haavatavuse kasutamine on piisavalt lihtne, kuna kurjategijad saavad maskeerida pahatahtlikke linke, petta kasutajat klõpsama nendel, et varastada autentimisandmeid, mis on sisestatud eelmisel veebilehel.
LastPassi esindajad ei kommenteeri seda olukorda. Hetkel ei ole teada juhtumitest, kus seda haavatavust oleks kurjategijad kasutanud.
Allikas: 3dnews.ru
