Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
IconAds: quando le app fantasma diventano portali pubblicitari
Ransomware e conflitti d’interesse: ex negoziatore sotto inchiesta per presunti legami con i cybercriminali
In aumento i cyberattacchi dall’Iran: l’allarme delle agenzie di sicurezza americane
Una vulnerabilità di Open VSX Registry mette in pericolo milioni di sviluppatori
Le stampanti multifunzione sono piene di bug! Uno espone la password di admin e Brother fa il record

Altri guai per LastPass. Serve una patch in 90 giorni

Mar 29, 2017 Marco Schiaffino News, RSS, Vulnerabilità 0

Una nuova vulnerabilità mette a rischio i dati degli utenti che usnao il celebre password manager per gestire le loro credenziali.

Dopo le vulnerabilità individuate nelle estensioni per Chrome e Firefox, LastPass deve affrontare un altro bug che, a quanto pare, consentirebbe a un pirata informatico di impossessarsi delle credenziali di accesso ai servizi Internet memorizzate dagli utenti.

A individuare la falla di sicurezza sarebbe stato il solito Tavis Ormandy, il ricercatore del Project Zero di Google che nelle ultime settimane sembra avere concentrato tutta la sua attenzione sul password manager.

Stando a quanto riportato in un post sul blog di LastPass pubblicato lunedì, si tratterebbe di un “attacco unico e molto sofisticato”. E c’è da credergli: stando a quanto pubblicato su Twitter da Ormandy, il bug consentirebbe anche di avviare l’esecuzione di codice in remoto, aprendo così la strada all’uso di un exploit che consentirebbe di usare la falla per installare un malware sul computer.

Gli sviluppatori del password manager, però, evitano di addentrarsi in dettagli per non fornire indizi sulla natura del bug che potrebbero consentire di creare un exploit per “bucare” LastPass.

Ormandy, dal canto suo, l’exploit l’avrebbe già creato e ora si attende che la società che sviluppa il software renda disponibile una patch entro i canonici 90 giorni concessi dal Project Zero team prima di rendere pubblici i dettagli della vulnerabilità.

Quello annunciato su Twitter da Tavis Ormandy è il terzo bug per LastPass individuato in meno di 10 giorni.

Un compito non semplice, visto che si tratterebbe di un problema che coinvolge la stessa architettura del software e, stando a quanto riporta lo stesso ricercatore di Google, non sarebbe di facile soluzione.

Dalle parti di LastPass, per il momento, si limitano a dare alcuni consigli ai loro utenti, tra cui quello di utilizzare l’estensione per aprire i siti a cui si vuole accedere usando le credenziali memorizzate e prestare la massima attenzione per non cadere vittima di email di phishing.

Considerato il tenore dei suggerimenti, è lecito pensare che il bug possa essere sfruttato in uno scenario in cui un pirata riesca ad attirare la sua vittima su un sito Web che contiene il codice in rado di sfruttare la vulnerabilità e rubare così le credenziali.

Condividi l'articolo