Altri guai per LastPass. Serve una patch in 90 giorni

News Recenti

Altri guai per LastPass. Serve una patch in 90 giorni

Mar 29, 2017 Marco Schiaffino News, RSS, Vulnerabilità 0

Una nuova vulnerabilità mette a rischio i dati degli utenti che usnao il celebre password manager per gestire le loro credenziali.

Dopo le vulnerabilità individuate nelle estensioni per Chrome e Firefox, LastPass deve affrontare un altro bug che, a quanto pare, consentirebbe a un pirata informatico di impossessarsi delle credenziali di accesso ai servizi Internet memorizzate dagli utenti.

A individuare la falla di sicurezza sarebbe stato il solito Tavis Ormandy, il ricercatore del Project Zero di Google che nelle ultime settimane sembra avere concentrato tutta la sua attenzione sul password manager.

Stando a quanto riportato in un post sul blog di LastPass pubblicato lunedì, si tratterebbe di un “attacco unico e molto sofisticato”. E c’è da credergli: stando a quanto pubblicato su Twitter da Ormandy, il bug consentirebbe anche di avviare l’esecuzione di codice in remoto, aprendo così la strada all’uso di un exploit che consentirebbe di usare la falla per installare un malware sul computer.

Gli sviluppatori del password manager, però, evitano di addentrarsi in dettagli per non fornire indizi sulla natura del bug che potrebbero consentire di creare un exploit per “bucare” LastPass.

Ormandy, dal canto suo, l’exploit l’avrebbe già creato e ora si attende che la società che sviluppa il software renda disponibile una patch entro i canonici 90 giorni concessi dal Project Zero team prima di rendere pubblici i dettagli della vulnerabilità.

Quello annunciato su Twitter da Tavis Ormandy è il terzo bug per LastPass individuato in meno di 10 giorni.

Un compito non semplice, visto che si tratterebbe di un problema che coinvolge la stessa architettura del software e, stando a quanto riporta lo stesso ricercatore di Google, non sarebbe di facile soluzione.

Dalle parti di LastPass, per il momento, si limitano a dare alcuni consigli ai loro utenti, tra cui quello di utilizzare l’estensione per aprire i siti a cui si vuole accedere usando le credenziali memorizzate e prestare la massima attenzione per non cadere vittima di email di phishing.

Considerato il tenore dei suggerimenti, è lecito pensare che il bug possa essere sfruttato in uno scenario in cui un pirata riesca ad attirare la sua vittima su un sito Web che contiene il codice in rado di sfruttare la vulnerabilità e rubare così le credenziali.

Condividi l'articolo