Weitere Sicherheitslücke in LastPass bekannt geworden

Unmittelbar nachdem LastPass mehrere Sicherheitslücken geschlossen hat, müssen die Entwickler der Passwortverwaltung eine weitere Schwachstelle einräumen. Der Meldung von LastPass zufolge wurde auch diese Lücke vom Sicherheitsforscher Tavis Ormandy von Googles Project Zero entdeckt. Er hatte bereits die soeben erst geschlossenen sowie im vergangenen Jahr behobene Sicherheitslücken aufgespürt.

Die aktuelle, von Ormandy berichtete Sicherheitslücke, steckt dem Anbieter zufolge wieder in den Browsererweiterungen, also auf der Client-Seite. Eigenen Angaben zufolge arbeitet LastPass derzeit an einem Patch. Bis der vorliegt, wolle man keine Details zu der angeblich nur mit hohem Aufwand und einem komplexen Angriff auszunutzenden Lücke bekannt geben: Jegliche Informationen könnten LastPass zufolge weniger versierten aber böswilligen Personen Hinweise geben, wie die Schwachstelle ausgenutzt werden kann. Sobald der Patch ausgeliefert sei, werde man auch über Details informieren.

Update 6. April 2017, 13 Uhr 45: Der Anbieter hat die Lücke eigenen Angaben zufolge mittlerweile geschlossen. Nutzer der Browsererweiterungen sollten – sofern noch nicht geschehen – diese auf Version 4.1.44 aktualisieren. Die Apps für Android, iOS und Windows Phone seien nicht betroffen gewesen.

Tavis Ormandy, der via Twitter lediglich erklärte, dass er eine Lücke in LastPass gefunden habe, teilte dort auch mit, dass es sich um eine neue Schwachstelle handelt, nicht lediglich eine Abwandlung der soeben erst geschlossenen. Aber auch Ormandy gab keine Details bekannt, sondern kündigte lediglich an, dass ein ausführlicher Bericht und ein Exploit als Beleg folgen sollen.

Möglicherweise erlaubt die neue Lücke, so wie eine bereits Anfang 2016 geschlossene, es wieder, Nutzern des Passwortmanagers durch Phishing das Masterpasswort abzuluchsen. Darauf könnten die in der Warnung von LastPass gegebenen Ratschläge hindeuten.

Der Anbieter empfiehlt dort LastPass Vault als Ausgangspunkt für den Zugang zu den Anmeldedaten zu verwenden. Bis die aktuelle Lücke behoben ist, sei das der sicherste Weg. Außerdem sollten Nutzer auf allen Seiten die Zwei-Faktor-Authentifizierung anbieten diese auch nutzen und generell wachsam gegenüber Phishing-Angriffen sein. In diesem Zusammenhang verweist LastPass noch einmal auf die bereits Anfang 2016 gegeben Empfehlungen.