Prošlog tjedna, programeri popularnog upravitelja lozinkama LastPass objavili su ažuriranje koje uklanja ranjivost koja je mogla dovesti do curenja korisničkih podataka. O problemu je objavljeno nakon što je on riješen, a korisnicima LastPass preporučeno je da ažuriraju upravitelja lozinkama na najnoviju verziju.
Riječ je o ranjivosti koja je omogućavala zlonamjernicima da ukradu podatke unesene od strane korisnika na posljednje posjećenom web mjestu. Problem je prošlog mjeseca otkrio Tavis Ormandy, član projekta Google Project Zero, koji se bavi istraživanjima u području informacijske sigurnosti.
Trenutno je LastPass najpopularniji upravitelj lozinkama. Programeri su uklonili ranjivost spomenutu ranije u verziji 4.33.0, koja je objavljena 12. rujna. Ako korisnici ne koriste funkciju automatskog ažuriranja LastPass, preporučuje im se da ručno preuzmu aktualnu verziju softvera. To bi trebali učiniti što je prije moguće, budući da su nakon ispravka ranjivosti istraživači objavili detalje koje bi zlonamjernici mogli iskoristiti za krađu lozinki s uređaja koji još nisu ažurirani.
Eksploatacija ranjivosti povezana je s izvršavanjem zlonamjernog JavaScript koda na ciljanom uređaju, bez ikakve interakcije s korisnikom. Zlonamjernici mogu mamiti korisnike na zlonamjerne web stranice u cilju krađe vjerodajnica pohranjenih u upravitelju lozinkama. Tavis Ormandy smatra da je iskorištavanje ranjivosti dovoljno jednostavno, budući da zlonamjernici mogu prikriti zlonamjernu vezu, prevarom natjerati korisnika da klikne na nju, što omogućava krađu vjerodajnica koje su unesene na prethodnoj web stranici.
Predstavnici LastPass ne komentiraju ovu situaciju. Trenutno nema informacija o slučajevima kada su zlonamjernici koristili ovu ranjivost.
Izvor: 3dnews.ru
