LastPass Remote Compromís de vulnerabilitat
- Categoria: Seguretat
LastPass presenta diversos problemes crítics dels quals almenys un permet als atacants comprometre el gestor de contrasenyes de forma remota segons a l’investigador de Google Tavis Ormandy.
LastPass és un dels serveis de gestió de contrasenyes en línia més populars a Internet d’avui. El servei ofereix extensions per a diversos navegadors, aplicacions mòbils i solucions dedicades per a diversos sistemes operatius i dispositius.
Tavis Ormandy va enviar un informe complet a LastPass i sembla que la companyia treballa en l'anàlisi i la resolució dels problemes al moment d'escriure.
Els problemes encara no s'han publicat públicament. Tot i que això és correcte fins que no s’arreglin, significa que els usuaris de LastPass no saben realment si es pot paliar el problema fins que no s’ofereixi una correcció.
Actualitza : LastPass va publicar una actualització de seguretat per al complement del Firefox. Segons en una publicació del bloc al lloc oficial, un atacant podria atraure un usuari LastPass a un lloc malintencionat per executar accions de LastPass en segon pla sense que l'usuari ho sàpiga. Això s'ha corregit a LastPass 4.0 per Firefox.
Hi ha informació addicional sobre el problema denunciat Fòrum Projecte Zero més a Chromium.org.
LastPass Remote Compromís de vulnerabilitat
L’única informació que es proporciona és la seguint dos tuits:
La gent realment utilitza aquest pas passat? Vaig fer una ullada ràpida i puc veure diversos problemes crítics evidents. Us enviaré un informe al més aviat.
L’informe complet enviat a LastPass, ara estan treballant. Sí, és un compromís remot complet. Sí, prometo que miraré 1Password.
Tenint en compte que, no està clar si funcions com l’autenticació de dos factors o l’ús d’altres complements de seguretat protegeixen els usuaris i les dades dels atacs. De fet, ni tan sols està clar si la vulnerabilitat està afectada per la xarxa i la infraestructura de LastPass, l’extensió del navegador, les aplicacions mòbils o altres productes.
Ben bé pot ser que només s’afecti l’extensió del navegador, tenint en compte que és molt probable que Tavis faci una ullada a causa de la seva disponibilitat per al navegador Chrome.
L’investigador de seguretat va fixar la seva vista en el següent gestor de contrasenyes, 1Password que es troba a continuació segons un missatge de Twitter.
Els gestors de contrasenyes emmagatzemen dades crítiques. Això els converteix en un dels programes més importants per a un usuari i un objectiu lucratiu per als atacants.
El problema de seguretat revelat no és el primer incident de la història de LastPass. El 2015, LastPass ho va confirmar es va detectar activitat sospitosa a la xarxa de l'empresa . Fa poc, un altre número es va informar i es va solucionar que va permetre als atacants extreure contrasenyes mitjançant la funcionalitat d’emplenament automàtic de l’extensió.
LastPass sol ser molt sensible i ràpid quan es tracta de solucionar problemes de seguretat que afecten els productes de l’empresa. Actualitzarem l’article quan aparegui la informació nova.