A múlt héten a népszerű LastPass jelszókezelő fejlesztői frissítést adtak ki, amely megszüntette azt a sebezhetőséget, amely személyes adatok kiszivárgásához vezethetett. A problémáról akkor számoltak be, amikor már megoldották, és a LastPass felhasználóinak ajánlották, hogy frissítsenek a legújabb verzióra.
A sebezhetőség lehetővé tette a támadók számára, hogy ellopják a felhasználó által a legutolsó meglátogatott weboldalon megadott adatokat. A problémát tavaly májusban fedezte fel Tavis Ormandy, a Google Project Zero projekt résztvevője, amely az információbiztonsági kutatásokra összpontosít.
Jelenleg a LastPass a legnépszerűbb jelszókezelő. A fejlesztők a fent említett sebezhetőséget a 4.33.0 verzióban szüntették meg, amely szeptember 12-én vált elérhetővé. Ha a felhasználók nem használják a LastPass automatikus frissítési funkcióját, javasoljuk, hogy kézbesítjük a legfrissebb szoftververziót manuálisan. Ezt minél hamarabb meg kell tenni, mivel a sebezhetőség javítása után a kutatók közzétették annak részleteit, amelyeket a támadók felhasználhatnak a jelszavak eltulajdonítására azon eszközökből, amelyekre az alkalmazás még nem frissült.
A sebezhetőség kihasználása a rosszindulatú JavaScript kód végrehajtásával jár a célzott eszközön, felhasználói interakció nélkül. A támadók csapdába csalhatják a felhasználókat rosszindulatú webhelyekre, hogy megszerezzék a jelszókezelőben tárolt hitelesítő adatokat. Tavis Ormandy azt állítja, hogy a sebezhetőség kihasználása egyszerű, mivel a támadók álcázhatják a rosszindulatú linket, megtévesztve a felhasználókat, hogy rákattintsanak, ezáltal ellopva azokat az adatokat, amelyeket a korábbi webhelyen adtak meg.
A LastPass képviselői nem kommentálták a helyzetet. Jelenleg nem ismertek olyan esetek, amikor e sebezhetőséget támadók használták volna.
Forrás: 3dnews.ru
