Falla in LastPass, password a rischio

È potenzialmente molto seria la falla scoperta da Tavis Ormandy, ricercatori del Projecy Zero di Google, e relativa al popolare gestore di password LastPass.

La vulnerabilità, che è presente anche nell'ultima versione dell'estensione per browser, può portare al furto delle password e, se è presente e funzionante il file binario di LastPass, all'esecuzione di codice arbitrario sul computer dell'utente.

Ormandy ha sviluppato del codice d'esempio che mostra come sia possibile sfruttare la falla, e l'ha inviato agli sviluppatori di LastPass, i quali hanno tre mesi per risolvere il problema prima che Project Zero riveli i dettagli tecnici. L'articolo continua qui sotto.

Secondo Ormandy, i 90 giorni a disposizione serviranno tutti: «Ci vorrà parecchio tempo per realizzare una soluzione adeguata. È un problema serio che riguarda l'architettura di LastPass».

Nell'attesa della correzione, gli sviluppatori di LastPass consigliano agli utenti di aprire i siti per i quali hanno salvato le password partendo dalla funzionalità LastPass Vault, e di abilitare l'autenticazione a due fattori.

Per LastPass gli ultimi tempi non sono stati felici, dal punto di vista della sicurezza: nell'ultimo mese Ormandy ha scoperto ben tre diverse falle, le prime due delle quali sono già state risolte.