最新密码管理器LastPass 0Day漏洞 官方告诉用户没有必要更改密码 等我们的补丁

Google零点项目(Project Zero)研究员Tavis Ormandy在LastPass插件中发现了另一个严重漏洞。该密码管理应用的开发人员已获知该漏洞并正在开发补丁。

因为漏洞还未修复,Ormandy和LastPass只公布了很少的细节。Ormandy研究员说,这个安全漏洞影响到这一密码管理应用的最新版本,并且他开发的漏洞利用程序适用于所有的web浏览器。

LastPass是什么

Lastpass是一个优秀的在线密码管理器和页面过滤器,采用了强大的加密算法,自动登录/云同步/跨平台/支持多款浏览器。如果你需要使用的密码太多,它就是一个很好的密码管理器。

LastPass 0Day漏洞

与之前发现的漏洞相似,这个漏洞可被利用来窃取用户密码,并且,如果LastPass二进制组件被启用时,还能被用来执行任意代码。LastPass在一篇博客中说:

"这种攻击很独特,并且非常老练。我们不想透露与漏洞或者补丁相关的、对不够老练但怀有恶意的的组织有所启发的任何具体信息。在漏洞修复后,大家可以期待详细的事后调查。"

这些漏洞通常可被用来使目标用户访问特制的网页。LastPass已建议客户使用LastPass Vault来访问网站,确保所访问的网站是合法的,以避免潜在的攻击。LastPass还建议用户尽可能启用双因素身份验证并当心钓鱼攻击。

Google研究员已经发现了数个LastPass漏洞

近来几周,Ormandy发现了若干个可被用来窃取用户密码或者执行任意代码的LastPass漏洞。LastPass在获知漏洞存在后,在数日内发布补丁。补丁自动推送安装,用户不用采取任何动作。

目前没有证据显示该漏洞已被用来发动攻击。LastPass告诉用户,没有必要更改任何密码。

Google研究员Ormandy发现的一个漏洞影响Firefox插件的3.3.2版本。LastPass已经修复了这个漏洞,但也指出将会在近期将这个版本退市。



原文发布时间:2017年3月29日 

本文由:securityWeek 发布,版权归属于原作者

原文链接:http://toutiao.secjia.com/lastpass-0day-vulnerability

本文来自云栖社区合作伙伴安全加,了解相关信息可以关注安全加网站

上一篇:Equifax再陷风波:一门户网站管理员密码是admin/admin


下一篇:10、深入理解计算机系统笔记:存储器层次结构,高速缓存存储器(2)