LastPass sérülékenysége

CH azonosító

CH-12949

Angol cím

LastPass vulnerability

Felfedezés dátuma

2016.01.15.

Súlyosság

Közepes

Érintett rendszerek

LastPass

Érintett verziók

LastPass 4.0

Összefoglaló

A LastPass sérülékenysége vált ismerté, melyet kihasználva a támadó bizalmas adatokat szerehet meg.

Leírás

A sérülékenységet többfajta támadások sorozatával használhatják ki:

  • A támadónak rá kell vennie egy felhasználót, hogy egy olyan oldalt látogasson meg, mely XSS sérülékenységet tartalmaz, vagy a támadó állította össze.
  • Ha a LastPass telepítve van, egy “login expired” üzenetet jelenít meg a böngésző, és egy CSRF sérülékenységet kihasználva kijelentkeztet a LastPass-ból
  • Az áldozat a hamis üzenetre kattintva átirányítja a felhasználót egy támadó által kontrollált bejelentkező oldalra, ami hitelesnek tűnik (a domain a “chrome-extension.pw” ami nagyon hasonló a “chrome-extension”-hoz).
  • A felhasználó beüti a jelszavát, melyet a támadó szerverére küld. A szerver a LastPass API segítségével ellenőrzi, hogy az adatok megfelelőek-e, és hogy a kétfaktoros autentikáció engedélyezve van-e.
  • Ha a jelszó nem megfelelő, a felhasználó visszakerül a bejelentkező oldalra, ha a kétfaktoros autentikáció engedélyezve van, egy annak megfelelő ablak jelenik meg.
  • Amint a támadó hozzájut a működő felhasználónévhez és jelszóhoz, a LastPass API-n keresztül letöltheti az összes információt. Emellett hátsó kaput telepíthet a fiókhoz, letilthatja a kétfaktoros autentikációt, és a támadó szerverét megbízhatónak titulálhatja.

A sérülékenység Chrome és Firefox böngészőkön keresztül használható ki.

A sérülékenység érdekessége továbbá, hogy a kétfaktoros autentikáció megkönnyíti, mert csak akkor küldenek e-mail értesítőt egy másik számítógépes bejelentkezés miatt, ha a funkció nincs bekapcsolva.

A sérülékenység publikálója a cikk megjelenésével egyidejűleg elérhetővé tette a támadáshoz használható példakódot is.

Megoldás

Ismeretlen

Megoldás

A LastPass nem ismerte el a hibákat sérülékenységnek, így nincs elérhető hibajavítás.

Az alábbi weboldalon ellenőrizheti hogy milyen IP címekről jelentkeztek be a fiókjába.

Az alábbi intézkedések tehetőek a támadás megelőzésére:

  • Hagyja figyelmen kívül a böngésző figyelmeztetéseit
  • Állítson be IP korlátozást
  • Tiltsa le a mobil bejelentkezést
  • Naplózzon minden bejelentkezést, és hibát