LastPass: weitere Schwachstelle entdeckt

Kurz nachdem LastPass mehrere Schwachstellen beseitigt hat, müssen die Entwickler der Passwortverwaltung eine weitere Sicherheitslücke einräumen. Auch diese Schwachstelle wurde der Meldung von LastPass zufolge vom Sicherheitsforscher Tavis Ormandy von Googles Project Zero entdeckt. Ormandy hat die soeben erst geschlossene wie auch die im vergangenen Jahr behobenen Sicherheitslücken aufgespürt.

Die neueste Sicherheitslücke, von der Ormandy berichtet, steckt dem Anbieter zufolge wieder in den Browsererweiterungen, also auf der Client-Seite. LastPass arbeitet eigenen Angaben zufolge aktuell an einem Patch. Bis dieser vorliegt, wolle man keine Details zu der angeblich nur mit hohem Aufwand und einem komplexen Angriff auszunutzenden Lücke bekannt geben, da jede Information weniger versierten aber böswilligen Personen Hinweise geben könnte, wie die Sicherheitslücke ausgenutzt werden kann. Sobald der Patch ausgeliefert sei, werde man auch über Details informieren.

Update 6. April 2017, 13 Uhr 47: Der Anbieter hat die Lücke eigenen Angaben zufolge mittlerweile geschlossen. Nutzer der Browsererweiterungen sollten – sofern noch nicht geschehen – diese auf Version 4.1.44 aktualisieren. Die Apps für Android, iOS und Windows Phone seien nicht betroffen gewesen.

Tavis Ormandy teilte via Twitter nur mit, dass er eine Schwachstelle in LastPass gefunden habe, erklärte dort aber auch, dass es sich um eine neue Lücke handelt, nicht lediglich eine Abwandlung der soeben erst geschlossenen. Auch er ließ sich nicht weiter über Details aus, sondern kündigte nur an, dass ein ausführlicher Bericht und ein Exploit als Beleg folgen sollen.

Es könnte sein, dass die aktuelle Schwachstelle, wie eine bereits Anfang 2016 geschlossene, es wieder ermöglicht, Nutzern des Passwortmanagers durch Phishing das Masterpasswort abzuluchsen. Darauf könnten die in der Warnung von LastPass gegebenen Ratschläge hindeuten.

ANZEIGE

So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden

Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.

Lastpass rät dort LastPass Vault als Ausgangspunkt für den Zugang zu den Anmeldedaten zu verwenden. Bis die aktuelle Lücke behoben ist, sei das der sicherste Weg. Anwender sollten außerdem auf allen Seiten, die Zwei-Faktor-Authentifizierung anbieten, diese auch nutzen und generell wachsam gegenüber Phishing-Angriffen sein. LastPass verweist in diesem Zusammenhang auch noch einmal auf die bereits Anfang 2016 gegeben Empfehlungen.

[Mit Material von Peter Marwan, silicon.de]

ZDNet.de Redaktion

Recent Posts

Apple meldet Rekordumsatz im vierten Fiskalquartal

Die Einnahmen klettern auf fast 95 Milliarden Dollar. Allerdings belastet der Steuerstreit mit der EU…

2 Tagen ago

Microsoft steigert Umsatz und Gewinn im ersten Fiskalquartal

Das stärkste Wachstum verbucht die Cloud-Sparte. Microsoft verpasst bei der Umsatzprognose für das laufende Quartal…

3 Tagen ago

Bezahlkarten: Infineon verspricht weniger Plastikmüll

Ein Coil-on-Module-Package integriert Chip und Antenne, was den Kartenkörper fast vollständig recycelbar machen soll.

3 Tagen ago

Firefox 132 schließt elf Sicherheitslücken

Mindestens eine Anfälligkeit erlaubt das Einschleusen von Schadcode. Außerdem erweitern die Entwickler den Support für…

3 Tagen ago

Telekom nennt Termin für 2G-Ende

Zum 30. Juni 2028 soll das 2G-Netz komplett abgeschaltet werden und den Weg für schnellere…

3 Tagen ago

Alphabet übertrifft die Erwartungen im dritten Quartal

Gewinn und Umsatz legen deutlich zu. Zum Wachstum tragen auch die Sparten Cloud und Abonnements…

4 Tagen ago