LastPass受到密碼竊取和代碼執(zhí)行漏洞的攻擊

LastPass已經(jīng)關(guān)閉了Chrome擴(kuò)展上的一個(gè)遠(yuǎn)程代碼執(zhí)行漏洞，但據(jù)GoogleProjectZero研究員TavisOrmandy稱，火狐擴(kuò)展仍然存在問(wèn)題，以及即將出現(xiàn)的另一個(gè)竊取密碼漏洞的詳細(xì)信息。

Ormandy在ProjectZero問(wèn)題跟蹤器中寫(xiě)道，可以向LastPass代理不受信任的消息。

“這允許完全訪問(wèn)內(nèi)部特權(quán)LastPass RPC命令，”研究人員說(shuō)。“有數(shù)以百計(jì)的內(nèi)部LastPass RPC，但顯然不好的是復(fù)制和填充密碼(復(fù)制、填充等)?！?/p>

此外，如果用戶安裝了LastPass二進(jìn)制組件，則系統(tǒng)容易受到遠(yuǎn)程代碼執(zhí)行的影響。

lastass通過(guò)在受影響的域上返回DNS錯(cuò)誤解決了問(wèn)題。該公司在Twitter上表示，將在未來(lái)的博客文章中提供有關(guān)這個(gè)問(wèn)題的更多細(xì)節(jié)。

Ormandy寫(xiě)道：“希望他們已經(jīng)取消了服務(wù)，而不僅僅是刪除了DNS條目，或者M(jìn)ITM(中間的人)仍然可以插入正確的DNS響應(yīng)?！?/p>

“(請(qǐng)注意，影響Firefox上的LastPass的第1188期并不是固定的，而且仍然有效)?！?/p>

在一份提高警惕的聲明中，據(jù)Ormandy說(shuō)，LastPass說(shuō)他們不能讓他的代碼執(zhí)行開(kāi)發(fā)起作用，但是安全研究人員在他的代碼中調(diào)用Windows計(jì)算器可執(zhí)行文件，而LastPass則在Mac上檢查代碼。

他說(shuō)：“當(dāng)然，calc.exe不會(huì)出現(xiàn)在Mac電腦上。

幾個(gè)小時(shí)后，奧曼迪說(shuō)他在密碼管理軟件中發(fā)現(xiàn)了另一個(gè)漏洞。

他在推特上說(shuō)：“我在LastPass4.1.35（未補(bǔ)?。┲邪l(fā)現(xiàn)了另一個(gè)bug，允許竊取任何域名的密碼。“完整的報(bào)告將很快提交?！?/p>

過(guò)去，LastPass一直處于Ormandy的注視之下，研究人員之前發(fā)現(xiàn)了允許LastPass帳戶發(fā)生遠(yuǎn)程妥協(xié)的bug。

“人們真的在使用這種LastPass的東西嗎？”O(jiān)rmandy在2016年7月表示。

Ormandy最近一直在研究網(wǎng)絡(luò)瀏覽器擴(kuò)展，今年早些時(shí)候，在Cisco WebEx Chrome擴(kuò)展中發(fā)現(xiàn)了一個(gè)遠(yuǎn)程代碼執(zhí)行錯(cuò)誤，以及一個(gè)自動(dòng)安裝的AdobeAcrobatChrome擴(kuò)展，使其用戶容易受到跨站點(diǎn)腳本攻擊。Last Pass于2015年10月由LogMe In以1.1億美元購(gòu)買(mǎi)。