Afgelopen week hebben de ontwikkelaars van de populaire wachtwoordmanager LastPass een update uitgebracht die een kwetsbaarheid verhelpt die mogelijk leidde tot het uitlekken van gebruikersgegevens. Het probleem werd bekendgemaakt nadat het was verholpen, en LastPass-gebruikers werd aangeraden de wachtwoordmanager bij te werken naar de laatste versie.
Het gaat om een kwetsbaarheid waarmee aanvallers gegevens konden stelen die door de gebruiker op de laatst bezochte website waren ingevoerd. Het probleem werd vorige maand ontdekt door Tavis Ormandy, een lid van het Google Project Zero-team, dat zich richt op onderzoek op het gebied van informatiebeveiliging. Ā
Momenteel is LastPass de populairste wachtwoordmanager. De ontwikkelaars hebben de eerder genoemde kwetsbaarheid verholpen in versie 4.33.0, die op 12 september openbaar is gemaakt. Als gebruikers de functie voor automatische updates van LastPass niet gebruiken, wordt aangeraden de nieuwste versie van de software handmatig te downloaden. Dit moet zo snel mogelijk gebeuren, aangezien na het verhelpen van de kwetsbaarheid onderzoekers de details hebben gepubliceerd die door aanvallers kunnen worden gebruikt om wachtwoorden te stelen van apparaten waarop de applicatie nog niet is bijgewerkt.
Het misbruik van de kwetsbaarheid houdt verband met het uitvoeren van kwaadaardige JavaScript-code op het doelapparaat, zonder enige interactie van de gebruiker. Aanvallers kunnen gebruikers naar kwaadaardige websites lokken om inloggegevens te stelen die in de wachtwoordmanager zijn opgeslagen. Tavis Ormandy gelooft dat het relatief eenvoudig is om de kwetsbaarheid te benutten, omdat aanvallers kwaadaardige links kunnen maskeren en gebruikers misleiden om erop te klikken om inloggegevens te stelen die op de vorige site zijn ingevoerd.
Vertegenwoordigers van LastPass doen geen uitspraak over deze situatie. Op dit moment is er niet bekend of deze kwetsbaarheid door aanvallers is gebruikt.
Bron: 3dnews.ru
