Weitere Sicherheitslücke in LastPass bekannt geworden
Sie steckt in den Browsererweiterungen und erlaubt möglicherweise Phishing-Angriffe auf das Masterpasswort. Entdeckt wurde sie erneut von Tavis Ormandy von Googles Project Zero. Ein Patch ist in Vorbereitung. Bis er verfügbar ist, rät LastPass Nutzern zu besonderer Aufmerksamkeit.
Unmittelbar nachdem LastPass mehrere Sicherheitslücken geschlossen hat, müssen die Entwickler der Passwortverwaltung eine weitere Schwachstelle einräumen. Der Meldung von LastPass zufolge wurde auch diese Lücke vom Sicherheitsforscher Tavis Ormandy von Googles Project Zero entdeckt. Er hatte bereits die soeben erst geschlossenen sowie im vergangenen Jahr behobene Sicherheitslücken aufgespürt.
Die aktuelle, von Ormandy berichtete Sicherheitslücke, steckt dem Anbieter zufolge wieder in den Browsererweiterungen, also auf der Client-Seite. Eigenen Angaben zufolge arbeitet LastPass derzeit an einem Patch. Bis der vorliegt, wolle man keine Details zu der angeblich nur mit hohem Aufwand und einem komplexen Angriff auszunutzenden Lücke bekannt geben: Jegliche Informationen könnten LastPass zufolge weniger versierten aber böswilligen Personen Hinweise geben, wie die Schwachstelle ausgenutzt werden kann. Sobald der Patch ausgeliefert sei, werde man auch über Details informieren.
Update 6. April 2017, 13 Uhr 45: Der Anbieter hat die Lücke eigenen Angaben zufolge mittlerweile geschlossen. Nutzer der Browsererweiterungen sollten – sofern noch nicht geschehen – diese auf Version 4.1.44 aktualisieren. Die Apps für Android, iOS und Windows Phone seien nicht betroffen gewesen.
Tavis Ormandy, der via Twitter lediglich erklärte, dass er eine Lücke in LastPass gefunden habe, teilte dort auch mit, dass es sich um eine neue Schwachstelle handelt, nicht lediglich eine Abwandlung der soeben erst geschlossenen. Aber auch Ormandy gab keine Details bekannt, sondern kündigte lediglich an, dass ein ausführlicher Bericht und ein Exploit als Beleg folgen sollen.
Sicherheitsrisiken in öffentlichen WLANs vermeiden
Mit einigen Schritten und kostenlosen Tools können sich Anwender effizient vor Angriffen in unsicheren WLANs schützen und Notebook, Smartphone und Tablets absichern. Die Kollegen der silicon.de-Schwestersite ZDNet.de erklären in ihrem Beitrag, wie das funktioniert.
Möglicherweise erlaubt die neue Lücke, so wie eine bereits Anfang 2016 geschlossene, es wieder, Nutzern des Passwortmanagers durch Phishing das Masterpasswort abzuluchsen. Darauf könnten die in der Warnung von LastPass gegebenen Ratschläge hindeuten.
Der Anbieter empfiehlt dort LastPass Vault als Ausgangspunkt für den Zugang zu den Anmeldedaten zu verwenden. Bis die aktuelle Lücke behoben ist, sei das der sicherste Weg. Außerdem sollten Nutzer auf allen Seiten die Zwei-Faktor-Authentifizierung anbieten diese auch nutzen und generell wachsam gegenüber Phishing-Angriffen sein. In diesem Zusammenhang verweist LastPass noch einmal auf die bereits Anfang 2016 gegeben Empfehlungen.
Optimierungsbedarf bei Logistikprozessen?
Die Lösung lautet: Dokumentenmanagement. Erfahren Sie im kostenlosen E-Book, wie ein Dokumentenmanagement-System (DMS) Ihnen helfen kann, Ihre Logistikprozesse zu verbessern – von der Artikelnummer bis zur Zustellung. Lesen Sie außerdem, wie Sie ein DMS auch im laufenden Betrieb zeit- und kostensparend implementieren können.
