Erneut kritische Sicherheitslücken in LastPass entdeckt

Sie erlauben den Diebstahl gespeicherter Passwörter. Betroffen sind die Versionen 4.1.42 und 4.1.35 und früher. Eine der beiden Anfälligkeiten hat LastPass inzwischen beseitigt. Sie ermöglichte zusätzlich das Einschleusen und Ausführen von Schadcode aus der Ferne.

Der Google-Forscher Tavis Ormandy hat erneut zwei kritische Schwachstellen in LastPass entdeckt. Ein Angreifer kann mit ihrer Hilfe unter Umständen alle Sicherheitsvormaßnahmen des Passwortmanagers aushebeln und gespeicherte Kennwörter stehlen. Eine der beiden Anfälligkeiten wurde nach Angaben des Unternehmens inzwischen beseitigt.

LastPass (Bild: LogmeIn)Den ersten Fehler hatte Ormandy vor zwei Tagen gemeldet. „Ups, neuer LastPass-Bug der Version 4.1.42 betrifft (Chrome und Firefox)“, twitterte der Forscher am Montag. Bei Verwendung einer Binärkomponente sei es möglich, aus der Ferne Schadcode einzuschleusen und auszuführen. Ohne gebe die Lücke immerhin alle Passwörter preis.

In einem weiteren Tweet erklärte Ormandy, er habe einen voll funktionsfähigen Exploit entwickelt, der unter Windows ohne Interaktion mit einem Nutzer funktioniere. Wahrscheinlich funktioniere der Exploit auch unter Mac OS X und Linux. Der Exploit selbst bestehe nur aus zwei Zeilen JavaScript-Code.

Nachdem LastPass die Veröffentlichung eines Patches bestätigte, machte Ormandy alle Details der Lücke und auch den Beispielcode für einen Exploit über das Chromium-Projekt öffentlich. Demnach war es möglich, auf interne und privilegierte LastPass-RPC-Befehle zuzugreifen, darunter die Befehle für das Kopieren von Passwörtern oder das automatische Ausfüllen von Formularen.

Gestern Abend meldete Ormandy per Twitter eine weitere Anfälligkeit, diesmal in LastPass 4.1.35 und früher. „Ich habe einen weiteren Bug gefunden, der das Stehlen von Passwörtern beliebiger Domains erlaubt.“ Nur zwei Stunden später antwortete LastPass ebenfalls per Twitter: „Uns liegen Berichte über eine Anfälligkeit im Firefox-Add-on vor. Unsere Sicherheit ermittelt und arbeitet an einem Fix.“ Da noch kein Patch existiert, sind auch keine weiteren Details zu der zweiten Schwachstelle bekannt.

Schon im Juli 2016 hatte Ormandy auf mehrere kritische Probleme in LastPass hingewiesen, die eine vollständige Kompromittierung der Anwendung aus der Ferne erlaubten. Zu dem Zeitpunkt fragte Ormandy „Gibt es wirklich Leute, die dieses LastPass-Ding benutzen.“ Anfang 2016 kritisierte Ormandy auch Trend Micros Passwortmanager scharf: „Jeder im Internet kann vollkommen unbemerkt alle Passwörter stehlen und auch ohne Interaktion mit dem Nutzer beliebigen Code ausführen. Ich hoffe wirklich, dass Ihnen die Auswirkungen klar sind, weil mich das sehr erstaunt“, schrieb Ormandy an Trend Micro.

ANZEIGE

Aktuelle Studie zur Dokumentensicherheit in deutschen Büros

Eine aktuelle Statista-Umfrage (im Auftrag von KYOCERA Document Solutions) hat ergeben: Der deutsche Mittelstand hat Nachholbedarf beim Thema Dokumentensicherheit. Mehr als die Hälfte der befragten Mitarbeiter hat Zugriff auf Dokumente, die nicht für sie bestimmt sind. Weitere Infos und Tipps zur Optimierung erhalten Sie im gratis E-Book. Jetzt herunterladen!

Tipp: Wie gut kennen Sie die Geschichte der Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: Authentifizierung, Lastpass, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu Erneut kritische Sicherheitslücken in LastPass entdeckt

Kommentar hinzufügen
  • Am 22. März 2017 um 13:04 von JoeM

    Immerhin reagiert LastPass umgehend. Es gibt bereits eine neue Version.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *