Tavis Ormandy, ein bekannter Sicherheitsforscher von Google, zeigte, dass dem Passwort-Manager LastPass von einer beliebigen Website das letzte verwendete Passwort einer anderen Seite entlockt werden kann.

Dafür müsste ein Angreifer das Opfer dazu bringen müssen, auf einer präparierten Website Elemente anzuklicken (Clickjacking). Weil LastPass den Tab-Credential-Cache nicht aktualisierte, hätten so Log-in-Daten einer vorher besuchten Seite abgegriffen werden können. Das Sicherheitsproblem wurde jedoch von den Entwicklern gelöst und mit Version 4.33.0 behoben.

(tl, hannover)

(siehe auch Heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE