in

Falha crítica no gerenciador de senhas LastPass pode filtrar senhas

A falha no gerenciador de senhas LastPass vaza credenciais do site anterior.

Falha crítica no gerenciador de senhas LastPass pode filtrar senhas

Uma falha no gerenciador de senhas LastPass poderia filtrar senhas de login inseridas em um site visitado anteriormente por um usuário..

A exploração do bug era possível nos navegadores Google Chrome e Opera e exigia algum esforço para ser bem-sucedido, pois o alvo precisava passar por várias etapas.

Não é tão simples assim

Falha crítica no gerenciador de senhas LastPass pode filtrar senhas

O engenheiro de segurança do Google, Tavis Ormandy, descobriu que um invasor pode criar um cenário válido de clickjacking para um usuário que usou o LastPass para fazer login em uma conta e direcioná-lo para um site comprometido ou mal-intencionado carregado com um iframe especialmente criado.

Na divulgação de vulnerabilidades enviada ao LastPass, o pesquisador detalha o aspecto técnico e como o clickjacking subsequente pode revelar as últimas credenciais usadas por uma vítima.

Ele explica que o roubo seria bem-sucedido se todas as ações ocorressem na mesma guia.

Ao colocar em um iframe o pop-up solicitando o preenchimento da senha, uma etapa da cadeia de verificação foi ignorada e o último valor em cache da guia atual vazaria.

Isso significa que, através de um clickjacking, você pode vazar as credenciais do site anterior conectado à guia atual, explica Ormandy no relatório ao LastPass no final de agosto.

Depois de mexer no bug por um tempo, o pesquisador encontrou uma maneira de automatizar o vazamento de credenciais em um site do Google.

Embora o método possa não funcionar com todos os sites, Ormandy calcula que o bug tem uma severidade alta.

O pesquisador apontou outros problemas descobertos no LastPass que poderiam ser aproveitados por um invasor.

Uma delas é a possibilidade de gerar eventos arbitrários de teclas de atalho devido à falta de verificação de eventos confiáveis.

Outro problema permitiu desativar várias verificações de segurança, enquanto um terceiro permitiu ignorar várias verificações relacionadas à segurança.

Falha nas extensões do LastPass atualizadas

Falha crítica no gerenciador de senhas LastPass pode filtrar senhas

Os criadores do gerenciador de senhas reconheceram a vulnerabilidade e na sexta-feira passada publicaram um comunicado anunciando que resolveram o bug.

A empresa observa que

embora qualquer exposição potencial devido ao bug tenha sido limitada a navegadores específicos (Chrome e Opera), por precaução, implantamos a atualização em todos os navegadores.

O processo é automatizado para que os usuários não precisem executar nenhuma ação, assim a falha no gerenciador de senhas LastPass foi contida.

As práticas recomendadas recomendadas para usuários do LastPass incluem o seguinte:

  • fique longe de links de indivíduos desconhecidos;
  • ativar autenticação multifator (MFA) para todos os serviços que suportam o recurso;
  • não reutilize ou compartilhe a senha mestra do seu gerenciador de senhas;
  • crie uma senha exclusiva para cada conta online;
  • execute uma solução antivírus atualizada e mantenha o software no seu computador na versão mais recente.

Fonte: BleepingComputer

Escrito por Fabiano Rodrigues

Usuário de Linux desde o Kurumin; servidor público, tecnólogo em análise e desenvolvimento de sistemas, amante de software livre e de código aberto; apaixonado por jogos, louco por rock e heavy metal, filmes e seriados.

Firefox 69.0.3 chega com melhorias no Webrender

Firefox muda para um ciclo de lançamento mensal

Versão do IDE Qt Creator 4.10.0 foi lançada

Versão do IDE Qt Creator 4.10.0 foi lançada