Összefoglaló
A LastPass sérülékenysége vált ismerté, melyet kihasználva a támadó bizalmas adatokat szerehet meg.
Leírás
A sérülékenységet többfajta támadások sorozatával használhatják ki:
- A támadónak rá kell vennie egy felhasználót, hogy egy olyan oldalt látogasson meg, mely XSS sérülékenységet tartalmaz, vagy a támadó állította össze.
- Ha a LastPass telepítve van, egy “login expired” üzenetet jelenít meg a böngésző, és egy CSRF sérülékenységet kihasználva kijelentkeztet a LastPass-ból
- Az áldozat a hamis üzenetre kattintva átirányítja a felhasználót egy támadó által kontrollált bejelentkező oldalra, ami hitelesnek tűnik (a domain a “chrome-extension.pw” ami nagyon hasonló a “chrome-extension”-hoz).
- A felhasználó beüti a jelszavát, melyet a támadó szerverére küld. A szerver a LastPass API segítségével ellenőrzi, hogy az adatok megfelelőek-e, és hogy a kétfaktoros autentikáció engedélyezve van-e.
- Ha a jelszó nem megfelelő, a felhasználó visszakerül a bejelentkező oldalra, ha a kétfaktoros autentikáció engedélyezve van, egy annak megfelelő ablak jelenik meg.
- Amint a támadó hozzájut a működő felhasználónévhez és jelszóhoz, a LastPass API-n keresztül letöltheti az összes információt. Emellett hátsó kaput telepíthet a fiókhoz, letilthatja a kétfaktoros autentikációt, és a támadó szerverét megbízhatónak titulálhatja.
A sérülékenység Chrome és Firefox böngészőkön keresztül használható ki.
A sérülékenység érdekessége továbbá, hogy a kétfaktoros autentikáció megkönnyíti, mert csak akkor küldenek e-mail értesítőt egy másik számítógépes bejelentkezés miatt, ha a funkció nincs bekapcsolva.
A sérülékenység publikálója a cikk megjelenésével egyidejűleg elérhetővé tette a támadáshoz használható példakódot is.
Megoldás
IsmeretlenMegoldás
A LastPass nem ismerte el a hibákat sérülékenységnek, így nincs elérhető hibajavítás.
Az alábbi weboldalon ellenőrizheti hogy milyen IP címekről jelentkeztek be a fiókjába.
Az alábbi intézkedések tehetőek a támadás megelőzésére:
- Hagyja figyelmen kívül a böngésző figyelmeztetéseit
- Állítson be IP korlátozást
- Tiltsa le a mobil bejelentkezést
- Naplózzon minden bejelentkezést, és hibát
Támadás típusa
Information disclosure (Információ/adat szivárgás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: www.seancassidy.me
Egyéb referencia: github.com