LastPass תיקן פגיעות שעלולה להוביל לדליפת נתונים

בשבוע שעבר פרסמו מפתחי מנהל הסיסמאות הפופולרי LastPass עדכון שמתקן נקודת תורפה שעלולה להוביל לדליפה של נתוני משתמשים. הבעיה הוכרזה לאחר שנפתרה ולמשתמשי LastPass הומלץ לעדכן את מנהל הסיסמאות שלהם לגרסה העדכנית ביותר.

אנחנו מדברים על פגיעות שיכולה לשמש תוקפים כדי לגנוב נתונים שהזין המשתמש באתר האחרון שבו ביקר. הבעיה התגלתה בחודש שעבר על ידי Tavis Ormandy, חבר בפרויקט Google Project Zero, שעורך מחקרים בתחום אבטחת המידע.  

LastPass הוא כרגע מנהל הסיסמאות הפופולרי ביותר. המפתחים תיקנו את הפגיעות שהוזכרה קודם לכן בגרסה 4.33.0, שהפכה זמינה לציבור ב-12 בספטמבר. אם המשתמשים אינם משתמשים בתכונת העדכון האוטומטי של LastPass, מומלץ להם להוריד ידנית את הגרסה העדכנית ביותר של התוכנה. זה צריך להיעשות כמה שיותר מהר, כי לאחר תיקון הפגיעות, חוקרים פרסמו את פרטיה, שיכולים לשמש תוקפים כדי לגנוב סיסמאות ממכשירים בהם האפליקציה טרם עודכנה.

ניצול הפגיעות כרוך בביצוע של קוד JavaScript זדוני במכשיר היעד, ללא כל אינטראקציה של המשתמש. תוקפים יכולים לפתות משתמשים לאתרים זדוניים על מנת לגנוב אישורים המאוחסנים במנהל סיסמאות. Tavis Ormandy מאמין שניצול הפגיעות הוא די פשוט, שכן תוקפים יכולים להסוות קישור זדוני, להערים על המשתמש ללחוץ עליו כדי לגנוב את האישורים שהוזנו באתר הקודם.

נציגי LastPass אינם מגיבים למצב זה. נכון לעכשיו, אין מקרים ידועים שבהם הפגיעות הזו הייתה בשימוש על ידי תוקפים.

מקור: 3dnews.ru