Thực đơn
trang chủMicrosoft

Đường chuyền cuối cùng cho lũ khốn. Các lỗi nghiêm trọng đã được xác định trong trình quản lý mật khẩu LastPass, các tiện ích mở rộng dành cho Chrome và Firefox. Thêm thông tin cá nhân

Trở lại mùa hè năm 2016, chuyên gia Tavis Ormandy của Google Project Zero đã chân thành nói: “Mọi người có thực sự sử dụng thứ LastPass này không?” Sau đó, Ormandy phát hiện ra một lỗ hổng trong mã của tiện ích bổ sung LastPass dành cho Firefox 0-day, khiến nó có thể xâm phạm từ xa tất cả mật khẩu của người dùng.

Bây giờ, gần một năm sau, chuyên gia lại quyết định kiểm tra tính bảo mật của LastPass, và thật không may, không thể nói rằng ứng dụng đã vượt qua bài kiểm tra này. Ormandy viết rằng ông đã phát hiện ra sự cố trong tiện ích mở rộng LastPass chính thức dành cho trình duyệt Chrome. Theo nhà nghiên cứu, content_srip của tiện ích mở rộng chứa một lỗ hổng mà nếu bị tấn công có thể dẫn đến xâm phạm tất cả thông tin xác thực được lưu trữ trong ứng dụng. Hơn nữa, để thực hiện một cuộc tấn công, kẻ tấn công chỉ cần dụ người dùng đến một trang web độc hại.

Nhà nghiên cứu giải thích rằng tập lệnh chỉ được sử dụng để truy cập một tên miền cụ thể trên Lastpass.com và nếu bạn xem xét kỹ hơn cách thức hoạt động của nó, nó trông như thế này:

Ở đây, như Ormandy lưu ý, có sai sót. Tập lệnh ủy quyền các thông báo cửa sổ chưa được xác thực tới tiện ích mở rộng, điều này có thể nguy hiểm vì bất kỳ ai cũng có thể thực hiện các thao tác sau:

Điều này sẽ cung cấp cho kẻ tấn công toàn quyền truy cập và buộc LastPass thực thi các lệnh RPC, trong đó có thể có hàng trăm lệnh, nhưng nguy hiểm nhất tất nhiên là khả năng sao chép và điền mật khẩu. Trong một số trường hợp, điều này thậm chí có thể dẫn đến việc thực thi mã tùy ý trên máy của người dùng thông qua việc khai thác openattach. Ví dụ: Ormandy trình diễn việc chạy một máy tính thông thường (calc.exe).

Rõ ràng, các nhà phát triển LasPass đã khắc phục sự cố trong tiện ích mở rộng của Chrome bằng cách vô hiệu hóa 1min-ui-prod.service.lastpass.com. Tuy nhiên, một số người dùng lưu ý rằng máy chủ vẫn đang chạy cho họ và lỗ hổng vẫn có liên quan. Người dùng LastPass dành cho Chrome có lẽ nên tắt tiện ích mở rộng này ngay bây giờ và đợi bản vá đầy đủ được phát hành, vì phiên bản 4.1.42, ngày 14 tháng 3 năm 2017, vẫn dễ bị tấn công.

Điều đáng chú ý là tuần trước Tavis Ormandy đã tìm thấy một lỗi tương tự khác trong tiện ích bổ sung LastPass dành cho Firefox. Lỗ hổng này cũng cho phép bạn trích xuất tất cả mật khẩu của người dùng nếu anh ta truy cập một trang web độc hại.

Vấn đề này vẫn chưa được khắc phục. Các nhà phát triển LastPass đã chuẩn bị một bản vá, nhưng phiên bản 3.3.2 đã sửa lỗi vẫn đang được các chuyên gia Mozilla xem xét. Các tác giả của LastPass cũng nhấn mạnh rằng nhánh 3.x vẫn bị coi là lỗi thời và người dùng nên chuyển sang nhánh 4.x an toàn hơn.

Nhưng vấn đề của LastPass không dừng lại ở đó. Hôm nay, ngày 22 tháng 3 năm 2017, Tavis Ormandy cảnh báo rằng tiện ích bổ sung LastPass dành cho Firefox có chứa một lỗi khác cho phép bạn lấy cắp mật khẩu của người khác cho bất kỳ tên miền nào. Hơn nữa, lần này phiên bản 4.1.35 hiện đại và an toàn hơn lại dễ bị tấn công. Chuyên gia hứa hẹn sẽ công bố thông tin chi tiết trong thời gian tới.