Tag: lastpass

Wybór menedżera haseł to bardzo ważna życiowa decyzja z punktu widzenia higieny poświadczeń w Internecie (o tym jak używać popularnego KeePassXC możecie przeczytać na sekuraku). Na rynku jest wiele dostępnych rozwiązań, od darmowych i otwartoźródłowych po usługi dostarczane przez firmy trzecie. Wybór jednych albo drugich ma swoje wady i zalety,…

Cały czas nie cichną echa afery związanej ze zhackowaniem infrastruktury managera haseł LastPass (więcej o temacie pisaliśmy w tym miejscu). W ostatniej aktualizacji LastPass zaznacza, że jednym z kluczowych elementów całego dużego hacku infrastruktury było otrzymanie dostępu do komputera jednego z kluczowych pracowników: hacker zaatakował jednego z czterech inżynierów DevOps,…

Z dosyć lakonicznym wpisem możecie zapoznać się w tym miejscu: We recently detected unusual activity within a third-party cloud storage service, which is currently shared by both LastPass and its affiliate, GoTo. We immediately launched an investigation Jak się okazuje jest to w pewnym sensie druga faza ataku, który miał…

Google Project Zero donosi o załatanej już podatności w LastPass (czy raczej przeglądarkowym pluginie dostarczanym przez tego managera haseł). PoC jest dość prosty i umożliwia na wykradzenie hasła wpisywanego na poprzednio odwiedzanej stronie: Luka jest już załatana, ale warto pamiętać że to właśnie pluginy przeglądarkowe są piętą Achillesową managerów haseł……

To ficzer? To backdoor? Nie, to podatność znaleziona przez Tavisa Ormandy. Dotyczy ona plugina przeglądarkowego LastPass (w Chrome, ale prawdopodobnie jest też coś na FF – i to nie załatane – patrz koniec posta). Używa on javascriptu, który można odpowiednio wykorzystać i przesyłać do samej instancji LastPass wywołania konkretnych, lokalnych metod:…

LastPass pod ostrzałem: co dopiero jeden z badaczy znalazł lukę w przeglądarkowym pluginie, gdzie wg zwykłej przeglądarki, adres: http://avlidienbrunn.se/@twitter.com/@hehe.php To oczywiście domena avlidienbrunn.se, a wg LastPass-a (jego przeglądarkowego plugina) to twitter.com … A to tylko zajawka, bo… ciężka artyleria została wytoczona właśnie przez Tavisa:   –ms