Na semana passada, os desenvolvedores do popular gerenciador de senhas LastPass lançaram uma atualização corrigindo uma vulnerabilidade que poderia levar ao vazamento de dados dos usuários. O problema foi anunciado após ser resolvido, e os usuários do LastPass foram aconselhados a atualizar o gerenciador de senhas para a versão mais recente.
A vulnerabilidade permitia que invasores roubassem dados inseridos pelo usuário no último site visitado. O problema foi descoberto no mês passado por Tavis Ormandy, membro do projeto Google Project Zero, que realiza pesquisas na área de segurança da informação.
Atualmente, o LastPass é o gerenciador de senhas mais popular. Os desenvolvedores corrigiram a vulnerabilidade mencionada na versão 4.33.0, que foi disponibilizada publicamente em 12 de setembro. Caso os usuários não utilizem a função de atualização automática do LastPass, é recomendável baixar manualmente a versão atual do software. Isso deve ser feito o mais rápido possível, pois, após a correção da vulnerabilidade, os pesquisadores publicaram detalhes que podem ser usados por invasores para roubar senhas de dispositivos onde o aplicativo ainda não foi atualizado.
A exploração da vulnerabilidade está relacionada à execução de código JavaScript malicioso no dispositivo alvo, sem qualquer interação do usuário. Invasores podem induzir os usuários a acessar sites maliciosos com o objetivo de roubar credenciais armazenadas no gerenciador de senhas. Tavis Ormandy acredita que a vulnerabilidade é fácil de ser explorada, uma vez que os invasores podem mascarar um link malicioso, enganando o usuário a clicar nele para roubar as credenciais que foram inseridas no site anterior.
Representantes do LastPass não comentaram sobre a situação. Até o momento, não há informações sobre casos em que essa vulnerabilidade foi utilizada por invasores.
Fonte: 3dnews.ru
