Баг плагина позволял украсть учетные данные LastPass

Специалист команды Google Project Zero Тэвис Орманди (Tavis Ormandy) сообщил о серьезной уязвимости в менеджере паролей LastPass. Баг позволял злоумышленнику определить учетные данные, использовавшиеся при последней авторизации через плагин сервиса для Chrome и Opera. Разработчики устранили проблему, выпустив апдейт расширения для всех поддерживаемых браузеров.

Уязвимость была связана с некорректной обработкой команды создания всплывающего окна авторизации. Как выяснил исследователь, менеджер паролей позволял открыть фрейм popupfilltab в текущей вкладке без использования функции do_popupregister(), которая отвечает за подстановку учетных сведений. Поскольку обращения к стандартной команде не происходило, расширение заполняло диалоговые поля данными предыдущего сеанса, полученными из кэша.

Орманди описал сценарий, при котором злоумышленник может получить доступ к этим сведениям. Чтобы атака была успешной, жертву нужно заманить на вредоносный сайт и заставить несколько раз кликнуть по определенным элементам на странице. Исследователь разработал PoC, предназначенный для кражи данных аккаунта Google, но подчеркнул, что тот будет работать не для всех сайтов.

Эксперт передал сведения об ошибке разработчикам, и 13 сентября они выпустили заплатку, устраняющую баг. Пользователям LastPass не требуется скачивать обновление — патч автоматически установится при очередном запуске браузера.

Эксперт Google не в первый раз находит уязвимости в плагинах LastPass. В марте 2017 года Орманди обнаружил сразу три ошибки, которые могли стать причиной компрометации учетных данных. Исследователь сумел добиться удаленного выполнения внутренних команд приложения, одна из которых позволяла копировать пользовательские пароли. Создатели расширения оперативно отреагировали на сообщение ИБ-специалиста и в течение суток залатали баги.

Источник: https://threatpost.ru/lastpass-bug-allows-to-steal-user-credentials/34118/