LastPass는 데이터 유출로 이어질 수 있는 취약점을 수정했습니다.

지난 주, 인기 있는 비밀번호 관리자 LastPass의 개발자는 사용자 데이터 유출로 이어질 수 있는 취약점을 수정하는 업데이트를 출시했습니다. 이 문제는 해결된 후 발표되었으며 LastPass 사용자는 비밀번호 관리자를 최신 버전으로 업데이트하라는 권고를 받았습니다.

우리는 마지막으로 방문한 웹사이트에서 사용자가 입력한 데이터를 훔치기 위해 공격자가 사용할 수 있는 취약점에 대해 이야기하고 있습니다. 이 문제는 지난달 정보보안 분야 연구를 진행하는 구글 프로젝트 제로(Google Project Zero) 프로젝트의 멤버인 타비스 오먼디(Tavis Ormandy)에 의해 발견됐다.  

LastPass는 현재 가장 널리 사용되는 비밀번호 관리자입니다. 개발자들은 4.33.0월 12일에 공개된 버전 XNUMX에서 앞서 언급한 취약점을 수정했습니다. 사용자가 LastPass의 자동 업데이트 기능을 사용하지 않는 경우 최신 버전의 소프트웨어를 수동으로 다운로드하는 것이 좋습니다. 취약점을 수정한 후 연구원들이 세부 정보를 공개했기 때문에 이 작업은 가능한 한 빨리 수행되어야 합니다. 공격자가 이를 사용하여 애플리케이션이 아직 업데이트되지 않은 장치에서 비밀번호를 훔칠 수 있기 때문입니다.

취약점을 악용하려면 사용자 상호 작용 없이 대상 장치에서 악성 JavaScript 코드를 실행해야 합니다. 공격자는 비밀번호 관리자에 저장된 자격 증명을 훔치기 위해 사용자를 악성 사이트로 유인할 수 있습니다. Tavis Ormandy는 공격자가 악성 링크를 위장하여 사용자가 해당 링크를 클릭하도록 속여 이전 사이트에 입력된 자격 증명을 훔칠 수 있기 때문에 이 취약점을 악용하는 것은 매우 간단하다고 믿습니다.

LastPass 담당자는 이 상황에 대해 언급하지 않습니다. 현재로서는 공격자가 이 취약점을 사용한 사례는 알려진 바가 없습니다.

출처 : 3dnews.ru