Про це повідомляється в блозі LastPass.
Баг виявив експерт Google Project Zero Тевіс Орманді (Tavis Ormandy). Уразливість допускала витік облікових даних, введених на раніше посещенном сайті, і розробники LastPass повідомляють, що проблема зачіпала розширення для Chrome і Opera.
За словами Орманді, за допомогою клікджекінга зловмисники могли отримувати облікові дані з відвіданого раніше сайту, застосовуючи для цього клікджекінг, iframe і перенаправляючи користувачів LastPass на скомпрометовані або шкідливі сайти. Це виявилося не складно, так як зловмисник міг замаскувати шкідливе посилання як URL-адресу Google Translate.
Експлуатація бага вимагала, щоб користувач ввів облікові дані, скориставшись іконкою LastPass, відвідав зламаний або шкідливий сайт, а також кілька разів клікнув по сторінці.
Орманді оперативно повідомив компанію про проблему, баг швидко усунули. Повідомляється, що ніяких ознак експлуатації цієї уразливості зловмисниками не виявлено. Дослідники з компанії AdaptiveMobile Security розповіли про серйозну атаку на SIM-карти під назвою Simjacker, що дозволяє стежити за людьми.
Об этом сообщается в блоге LastPass.
Баг обнаружил эксперт Google Project Zero Тэвис Орманди (Tavis Ormandy). Уязвимость допускала утечку учетных данных, введенных на ранее посещенном сайте, и разработчики LastPass сообщают, что проблема затрагивала расширения для Chrome и Opera.
По словам Орманди, при помощи кликджекинга злоумышленники могли извлекать учетные данные из посещенного ранее сайта, применяя для этого кликджекинг, iframe и перенаправляя пользователей LastPass на скомпрометированные или вредоносные сайты. Это оказалось не сложно, так как злоумышленник мог замаскировать вредоносную ссылку как URL-адрес Google Translate.
Эксплуатация бага требовала, чтобы пользователь ввел учетные данные, воспользовавшись иконкой LastPass, посетил взломанный или вредоносный сайт, а также несколько раз кликнул по странице.
Орманди оперативно уведомил компанию о проблеме, баг быстро устранили. Сообщается, что никаких признаков эксплуатации этой уязвимости злоумышленниками не обнаружено. Исследователи из компании AdaptiveMobile Security рассказали о серьезной атаке на SIM-карты под названием Simjacker, позволяющей следить за людьми.
