Уязвимость LastPass сливала последние использованные учетные данные

Уязвимость LastPass сливала последние использованные учетные данные

Уязвимость LastPass сливала последние использованные учетные данные

В популярном менеджере паролей LastPass нашли уязвимость, которая позволяла выкрасть учётные данные, использованные для входа на последнем веб-сайте.

Задействовать этот баг в атаке можно было в браузерах Google Chrome и Opera. Помимо этого, атакуемого пользователя надо было заставить выполнить несколько шагов.

О проблеме сообщил Тэвис Орманди. По его словам, злоумышленник мог создать определённый сценарий кликджекинга для пользователя LastPass.

Упрощённо схема выглядит так: жертву заставляют произвести вход на определённом ресурсе, а затем ее заманивают на вредоносный или скомпрометированный сайт, на котором загружается специальный iframe.

Орманди направил разработчикам LastPass технические детали уязвимости, используя которую киберпреступники могут собрать последние учётные данные.

Такая атака увенчается успехом в том случае, если все действия совершаются в одной вкладке браузера. В случае внедрения вредоносного iframe запускается цепочка верификации, а затем происходит утечка последних кешированных данных, подставленных в поле «пароль».

«Таким образом, благодаря кликджекингу происходит утечка учётных данных, используемых на предыдущем сайте», — объяснил Орманди в отчёте.

Компания уже выпустила обновлённые версии расширения LastPass.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Kaspersky SMM появились сценарии для Android и режим киоска

«Лаборатория Касперского» выпустила новую версию решения Kaspersky Secure Mobility Management, предназначенного для управления мобильными устройствами в корпоративной среде.

Продукт входит в реестр отечественного ПО и совместим с разными платформами — от Android и iOS до macOS, Windows, Linux и российских операционных систем на их основе.

Система поддерживает разные сценарии использования устройств: как личных (через создание защищённой изолированной среды для рабочих приложений), так и корпоративных — в том числе с использованием режима киоска для ограниченного функционала.

Что нового в релизе:

  • Передача файлов на Android-устройства. Теперь можно удалённо отправлять на смартфоны и планшеты нужные файлы — например, для бизнес-приложений или учётных систем. Также реализована возможность настройки безопасного подключения таких устройств к корпоративной сети.
  • Улучшения в режиме киоска. Режим стал удобнее как для пользователей, так и для админов. Системный специалист теперь может временно отключить киоск по одноразовому коду — например, для обслуживания устройства. Обновления приложений проходят в фоновом режиме и не мешают пользователю.

Компания также напомнила, что остаётся единственным российским разработчиком, предлагающим MDM-решение с возможностью безопасного соединения между корпоративным сервером и мобильными устройствами через интернет. В 2024 году продукт адаптировали под сервер на Linux и продолжают его развивать.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru