Weitere Sicherheitslücke in LastPass bekannt geworden

SicherheitSicherheitsmanagement

Sie steckt in den Browsererweiterungen und erlaubt möglicherweise Phishing-Angriffe auf das Masterpasswort. Entdeckt wurde sie erneut von Tavis Ormandy von Googles Project Zero. Ein Patch ist in Vorbereitung. Bis er verfügbar ist, rät LastPass Nutzern zu besonderer Aufmerksamkeit.

Unmittelbar nachdem LastPass mehrere Sicherheitslücken geschlossen hat, müssen die Entwickler der Passwortverwaltung eine weitere Schwachstelle einräumen. Der Meldung von LastPass zufolge wurde auch diese Lücke vom Sicherheitsforscher Tavis Ormandy von Googles Project Zero entdeckt. Er hatte bereits die soeben erst geschlossenen sowie im vergangenen Jahr behobene Sicherheitslücken aufgespürt.

LastPass (Grafik: LastPass)

Die aktuelle, von Ormandy berichtete Sicherheitslücke, steckt dem Anbieter zufolge wieder in den Browsererweiterungen, also auf der Client-Seite. Eigenen Angaben zufolge arbeitet LastPass derzeit an einem Patch. Bis der vorliegt, wolle man keine Details zu der angeblich nur mit hohem Aufwand und einem komplexen Angriff auszunutzenden Lücke bekannt geben: Jegliche Informationen könnten LastPass zufolge weniger versierten aber böswilligen Personen Hinweise geben, wie die Schwachstelle ausgenutzt werden kann. Sobald der Patch ausgeliefert sei, werde man auch über Details informieren.

Update 6. April 2017, 13 Uhr 45: Der Anbieter hat die Lücke eigenen Angaben zufolge mittlerweile geschlossen. Nutzer der Browsererweiterungen sollten – sofern noch nicht geschehen – diese auf Version 4.1.44 aktualisieren. Die Apps für Android, iOS und Windows Phone seien nicht betroffen gewesen.

Tavis Ormandy, der via Twitter lediglich erklärte, dass er eine Lücke in LastPass gefunden habe, teilte dort auch mit, dass es sich um eine neue Schwachstelle handelt, nicht lediglich eine Abwandlung der soeben erst geschlossenen. Aber auch Ormandy gab keine Details bekannt, sondern kündigte lediglich an, dass ein ausführlicher Bericht und ein Exploit als Beleg folgen sollen.

Mehr zum Thema

Sicherheitsrisiken in öffentlichen WLANs vermeiden

Mit einigen Schritten und kostenlosen Tools können sich Anwender effizient vor Angriffen in unsicheren WLANs schützen und Notebook, Smartphone und Tablets absichern. Die Kollegen der silicon.de-Schwestersite ZDNet.de erklären in ihrem Beitrag, wie das funktioniert.

Möglicherweise erlaubt die neue Lücke, so wie eine bereits Anfang 2016 geschlossene, es wieder, Nutzern des Passwortmanagers durch Phishing das Masterpasswort abzuluchsen. Darauf könnten die in der Warnung von LastPass gegebenen Ratschläge hindeuten.

Der Anbieter empfiehlt dort LastPass Vault als Ausgangspunkt für den Zugang zu den Anmeldedaten zu verwenden. Bis die aktuelle Lücke behoben ist, sei das der sicherste Weg. Außerdem sollten Nutzer auf allen Seiten die Zwei-Faktor-Authentifizierung anbieten diese auch nutzen und generell wachsam gegenüber Phishing-Angriffen sein. In diesem Zusammenhang verweist LastPass noch einmal auf die bereits Anfang 2016 gegeben Empfehlungen.

Ausgewählte Whitepaper

Sicherheitsaspekte bei der Auswahl einer Lösung für EFSS

Bei der Entscheidung für eine Lösung zur Dateisynchronisierung und -freigabe (Enterprise File-Share and Sync) spielen in Unternehmen in der Regel mehrere Faktoren eine Rolle. Datensicherheit steht dabei meist ganz oben weit oben auf der Liste. Diese 12 Fragen sollten sie Anbietern daher auf alle Fälle stellen.

Anklicken um die Biografie des Autors zu lesen  Anklicken um die Biografie des Autors zu verbergen