LastPass-fjärrkompromissproblem
- Kategori: Säkerhet
LastPass har ett gäng kritiska problem, av vilka åtminstone en tillåter angripare att kompromissa med lösenordshanteraren på distans enligt till Google-forskaren Tavis Ormandy.
Lastpass är en av de mest populära tjänsterna för online-lösenordshantering på dagens Internet. Tjänsten erbjuder tillägg för olika webbläsare, mobilappar och dedikerade lösningar för olika operativsystem och enheter.
En fullständig rapport skickades till LastPass av Tavis Ormandy och det verkar som om företaget arbetar med att analysera och fixa problemen i skrivande stund.
Frågorna har inte offentliggjorts ännu. Även om det är rätt att göra tills de är fixade, betyder det att LastPass-användare inte riktigt vet om problemet kan lindras tills en fix har tillhandahållits.
Uppdatering : LastPass släppte en säkerhetsuppdatering för Firefox-tillägget. enligt till ett blogginlägg på den officiella webbplatsen kan en angripare locka en LastPass-användare till en skadlig webbplats för att utföra LastPass-åtgärder i bakgrunden utan att användaren vet om dem. Detta har fixats i LastPass 4.0 för Firefox.
Ytterligare information om det rapporterade problemet finns på Project Zero forum över på Chromium.org.
LastPass-fjärrkompromissproblem
Den enda information som tillhandahålls är följande två tweets:
Använder människor verkligen den här sista gången? Jag tittade snabbt och ser ett gäng uppenbara kritiska problem. Jag skickar en rapport så snart som möjligt.
Hela rapporten skickas till LastPass, de arbetar med den nu. Ja, det är en komplett fjärrkompromiss. Ja, jag lovar att jag ska titta på 1Password.
Med tanke på det är det oklart om funktioner som tvåfaktorautentisering eller användning av andra säkerhetstillägg skyddar användare och data från attacker. Det är faktiskt inte ens klart om LastPass 'nätverk och infrastruktur, webbläsarutvidgningen, mobilappar eller andra produkter påverkas av sårbarheten.
Det kan mycket väl vara att endast webbläsarförlängningen påverkas, med tanke på att det är troligt att Tavis tittade på på grund av dess tillgänglighet för Chrome-webbläsaren.
Säkerhetsforskaren satte syn på nästa lösenordshanterare, 1Password som är nästa enligt ett Twitter-meddelande.
Lösenordshanterare lagrar kritisk data. Detta gör dem till ett av de viktigaste programmen för en användare och ett lukrativt mål för angripare.
Den avslöjade säkerhetsfrågan är inte den första händelsen i LastPass historia. 2015 bekräftade LastPass att det upptäckt misstänkt aktivitet i företagets nätverk . Bara nyligen, ett annat problem rapporterades och fixades som gjorde det möjligt för angripare att extrahera lösenord med tilläggets autofyllfunktion.
LastPass är vanligtvis mycket lyhörd och snabb när det gäller korrigering av säkerhetsproblem som påverkar företagets produkter. Vi kommer att uppdatera artikeln när ny information kommer fram.