Kybernetický detektív Google Tavis Ormandy sa vrátil k skúmaniu LastPass a objavilo sa množstvo nových zraniteľností.
LastPass uzavrel chybu zabezpečenia vzdialeného spúšťania kódu na svojom rozšírení Chrome, ale podľa Google Project Zero výskumník Tavis Ormandy, pretrvávajú problémy s jeho rozšírením Firefox, ako aj podrobnosti o ďalšej zraniteľnosti kradnutia hesiel prísť.
Písanie v Nástroj na sledovanie problémov Project Zero, Ormandy povedal, že je možné sprostredkovať nedôveryhodné správy na LastPass.
"To umožňuje úplný prístup k interným privilegovaným príkazom LastPass RPC," povedal výskumník. "Existujú stovky interných RPC LastPass, ale zjavne zlé sú veci, ktoré kopírujú a vypĺňajú heslá (copypass, fillform atď.)."
Bezpečnosť
- 8 návykov vysoko bezpečných vzdialených pracovníkov
- Ako nájsť a odstrániť spyware z telefónu
- Najlepšie služby VPN: Ako sa porovnáva 5 najlepších?
- Ako zistiť, či ste zapojený do porušenia ochrany údajov - a čo robiť ďalej
Okrem toho, ak má používateľ nainštalovaný binárny komponent LastPass, systém bol zraniteľný voči vzdialenému spusteniu kódu.
LastPass problém vyriešil vrátením chyby DNS v dotknutej doméne. Povedala spoločnosť na Twitteri Ďalšie podrobnosti o tomto probléme poskytne budúci blogový príspevok.
"Dúfame, že stiahli službu a neodstránili len záznam DNS, alebo mitm [muž v strede] môže stále vkladať správne odpovede DNS," napísal Ormandy.
"(Upozorňujeme, že problém 1188, ktorý ovplyvňuje LastPass na firefoxe, nie je opravený a stále funguje)."
Podľa Ormandyho LastPass vo vyhlásení, ktoré zdvihlo obočie, povedal, že nedokázali spustiť jeho využitie na spustenie kódu, bezpečnostný výskumník však volal Windows Calculator ako spustiteľný vo svojom kóde, zatiaľ čo LastPass skúmal kód na Mac.
"Prirodzene, calc.exe sa na Macu nezobrazí," povedal.
O niekoľko hodín neskôr Ormandy povedal, že našiel ďalšiu zraniteľnosť v softvéri na správu hesiel.
"Našiel som ďalšiu chybu v LastPass 4.1.35 (neopravená), ktorá umožňuje kradnúť heslá pre akúkoľvek doménu," povedal na Twitteri. "Úplná správa bude čoskoro na ceste."
LastPass padol pod Ormandyho pohľad v minulosti, pričom výskumník predtým našiel chyby, ktoré umožňovali vzdialené ohrozenie účtov LastPass.
"Naozaj ľudia používajú tento posledný priechod?" Ormandy povedal v júli 2016.
Ormandy nedávno hľadala rozšírenia webového prehliadača a začiatkom tohto roka našla a chyba spustenia vzdialeneho kódu v rozšírení Cisco WebEx Chrome, ako aj automaticky nainštalované rozšírenie Adobe Acrobat Chrome, ktoré opustilo svojich používateľov zraniteľné voči útokom skriptovania medzi stránkami.
LastPass bol kúpil LogMeIn za 110 miliónov dolárov v októbri 2015.