A LastPass elkelt. De vannak alternatívák. Kritikus hibákat azonosítottak a LastPass jelszókezelőben, a Chrome-bővítményekben és a Firefox Lastpassban.

2016 nyarán a Google Project Zero szakértője, Tavis Ormandy őszintén azt mondta: „Valóban használják az emberek ezt a LastPass dolgot?” Ekkor Ormandy egy sebezhetőséget fedezett fel a Firefox 0-day LastPass kiegészítőjének kódjában, amely lehetővé tette az összes felhasználói jelszó távolról történő feltörését.

Most, majdnem egy évvel később a szakértő ismét a LastPass biztonságának tesztelése mellett döntött, és sajnos nem mondható el, hogy az alkalmazás átment ezen a teszten. Ormandy azt írja, hogy hibát fedezett fel a hivatalos LastPass kiterjesztésében Chrome böngésző. A kutató szerint a bővítmény content_scripje egy biztonsági rést tartalmaz, amely támadás esetén az alkalmazásban tárolt összes hitelesítő adat kompromittálásához vezethet. Ráadásul a támadás végrehajtásához a támadónak csak egy rosszindulatú webhelyre kell csábítania a felhasználót.

A kutató elmagyarázza, hogy a szkriptet csak egy adott domain elérésére használják a lastpass.com webhelyen, és ha jobban megnézzük, hogyan működik, a következőképpen néz ki:

Itt van a hiba, ahogy Ormandy megjegyzi. A szkript a nem hitelesített ablaküzeneteket proxyzza a bővítményhez, ami veszélyes lehet, mert bárki megteheti a következőket:

Ez megadja a támadónak teljes hozzáférésés RPC parancsok végrehajtására kényszeríti a LastPasst, amelyekből több száz is lehet, de a legveszélyesebb természetesen a jelszavak másolásának és kitöltésének képessége. Bizonyos esetekben ez akár tetszőleges kód futtatásához is vezethet a felhasználó gépén, az openattach kihasználásával. Példaként az Ormandy egy normál számológép (calc.exe) futtatását mutatja be.

Úgy tűnik, a LasPass fejlesztői már kijavították a problémát a Chrome-bővítményben az 1min-ui-prod.service.lastpass.com letiltásával. Néhány felhasználó azonban megjegyzi, hogy a szerver továbbra is fut számukra, és a sérülékenység továbbra is releváns. A LastPass for Chrome felhasználóinak valószínűleg most le kell tiltaniuk a bővítményt, és meg kell várniuk a teljes javítás kiadását, mivel a 2017. március 14-i 4.1.42-es verzió még mindig sebezhető volt.

Érdemes megjegyezni, hogy a múlt héten Tavis Ormandy egy másik nagyon hasonló hibát talált a Firefox LastPass kiegészítőjében. A biztonsági rés lehetővé teszi az összes felhasználói jelszó kibontását is, ha rosszindulatú webhelyet keres fel.

Ezt a problémát még nem sikerült megoldani. A LastPass fejlesztői már készítettek egy javítást, de a javított 3.3.2-es verziót még vizsgálják a Mozilla szakemberei. A LastPass szerzői azt is hangsúlyozták, hogy a 3.x ág továbbra is elavultnak számít, és a felhasználóknak ajánlott váltani a biztonságosabb 4.x ágra.

De a LastPass problémái ezzel még nem értek véget. Ma, 2017. március 22-én Tavis Ormandy figyelmeztetett, hogy a Firefox LastPass kiegészítője egy másik hibát is tartalmaz, amely lehetővé teszi mások jelszavainak ellopását bármely domainhez. Ráadásul ezúttal a modernebb és biztonságosabb 4.1.35-ös verzió sebezhető. A szakértő azt ígéri, a közeljövőben nyilvánosságra hozza a részleteket.


Top