W zeszłym tygodniu deweloperzy popularnego menedżera haseł LastPass wydali aktualizację, która naprawia lukę, która mogła prowadzić do wycieku danych użytkowników. O problemie poinformowano po jego rozwiązaniu, a użytkownikom LastPass zalecano aktualizację menedżera haseł do najnowszej wersji.
Mowa o luce, która umożliwiała przestępcom kradzież danych wprowadzonych przez użytkownika na ostatnio odwiedzanej stronie internetowej. Problem odkrył w zeszłym miesiącu Tavis Ormandy, członek projektu Google Project Zero, który zajmuje się badaniami w dziedzinie bezpieczeństwa informacji.
Obecnie LastPass jest najpopularniejszym menedżerem haseł. Deweloperzy naprawili wcześniej wspomnianą lukę w wersji 4.33.0, która została udostępniona 12 września. Jeśli użytkownicy nie korzystają z funkcji automatycznej aktualizacji LastPass, zaleca się, aby pobrali aktualną wersję oprogramowania ręcznie. Należy to zrobić jak najszybciej, ponieważ po usunięciu luki badacze opublikowali szczegóły, które mogą być wykorzystywane przez przestępców do kradzieży haseł z urządzeń, na których aplikacja nie została jeszcze zaktualizowana.
Wykorzystanie luki wiąże się z uruchomieniem złośliwego kodu JavaScript na docelowym urządzeniu, bez jakiejkolwiek interakcji z użytkownikiem. Przestępcy mogą wabić użytkowników do złośliwych stron w celu kradzieży danych logowania przechowywanych w menedżerze haseł. Tavis Ormandy uważa, że wykorzystanie luki jest wystarczająco proste, ponieważ przestępcy mogą zamaskować złośliwy link, oszukując użytkownika, aby na niego kliknął w celu kradzieży danych logowania, które zostały wprowadzone na poprzedniej stronie.
Przedstawiciele LastPass nie komentują tej sytuacji. Na chwilę obecną nie wiadomo o przypadkach, w których ta luka była wykorzystywana przez przestępców.
Źródło: 3dnews.ru
