Il mondo della security diventa ancora più complesso dopo l’ultima falla scoperta in uno dei più popolari password manager, LastPass. Un ricercatore Google, di nome Tavis Ormandy, avrebbe scoperto ben tre vulnerabilità tra le estensioni di LastPass dedicate ai browser, di cui ancora la software house deve prendersi in parte cura.
Il mondo dei password manager viene così scosso da un “terremoto” improvviso, in quanto LastPass si è configurato negli ultimi tempi come una delle applicazioni più amate per la sua immediatezza. Tra le vulnerabilità riscontrate, un redirect ad un sito sospetto, dal quale verrebbe lanciata una chiamata alle API LastPass ottenendo le credenziali dell’utente usate per il login. L’esecuzione di codice remoto per tramite del proprio browser (attiva sia su Firefox, Opera, Chrome e Edge) permette all’ipotetico cyber pirata di ottenere il controllo del dispositivo dell’utente, potenzialmente esponendolo quindi ad altri rischi di varia natura, non indifferenti, tra cui l’estorsione delle password per siti commerciali o personali.
Al momento, la società statunitense che ha creato il password manager più popolare degli ultimi anni, non ha rilasciato ulteriori informazioni sul bug, ma ha confermato di essere alla ricerca di una soluzione. La migliore difesa, al momento, è data dall’attivazione all’interno del password manager del LastPass Vault e dell’autenticazione a due fattori, un espediente sempre più utilizzato anche in app di messaging.
Il bug, un attacco client-side, sembra essere particolarmente complesso nell’attivazione, quindi il pericolo sembra essere limitato e non sono ancora presenti report relativi ad utenti italiani colpiti. In ogni caso, è sempre raccomandata prudenza e un backup supplementare delle password in nostro possesso, procedendo eventualmente a modificare quelle più vulnerabili.
