Устранена уязвимость менеджера паролей LastPass

Популярный сервис LastPass, позволяющий создавать и хранить в зашифрованном виде пароли для онлайн-аккаунтов, подтвердил обнаружение и ликвидацию серьезных уязвимостей в своем ПО. Два дня назад глава проекта Project Zero корпорации Google Тэвис Орманди сообщил в Twitter о том, что LastPass «полностью уязвим» для дистанционной эксплуатации найденной им уязвимости нулевого дня. Для взлома злоумышленникам достаточно убедить пользователя посетить специально созданный вредоносный вебсайт, после чего они получают доступ ко всем его паролям на LastPass.

Дополнительных подробностей от Орманди не последовало, однако менее чем через сутки их предоставил сам сервис. Его представители сообщили, что уязвимость коренилась в дополнении LastPass для браузера Firefox, и была оперативно ликвидирована. Новая версия LastPass 4.0 уже распространена среди клиентов сервиса, использующих Firefox.

Одновременно стало известно и о другой опасной уязвимости LastPass. Она затрагивала функцию автозаполнения паролей при посещении известных пользователю веб-страниц. Ее эксплуатация потенциально позволяла организаторам атак активировать автозаполнение при посещении вредоносных сайтов. Проблема была обнаружена исследователем компании Detectify Labs Security Матиасом Карлссоном и ликвидирована также в течение суток после того, как он уведомил о ней LastPass. Впрочем, произошло это еще год назад. Сообщить об уязвимости сейчас посчитали нужным сами представители сервиса LastPass. Они подчеркнули, что высоко ценят сотрудничество с сообществом специалистов по кибербезопасности и максимально оперативно реагируют на их информацию.