Уязвимость LastPass сливала последние использованные учетные данные

Уязвимость LastPass сливала последние использованные учетные данные

В популярном менеджере паролей LastPass нашли уязвимость, которая позволяла выкрасть учётные данные, использованные для входа на последнем веб-сайте.

Задействовать этот баг в атаке можно было в браузерах Google Chrome и Opera. Помимо этого, атакуемого пользователя надо было заставить выполнить несколько шагов.

О проблеме сообщил Тэвис Орманди. По его словам, злоумышленник мог создать определённый сценарий кликджекинга для пользователя LastPass.

Упрощённо схема выглядит так: жертву заставляют произвести вход на определённом ресурсе, а затем ее заманивают на вредоносный или скомпрометированный сайт, на котором загружается специальный iframe.

Орманди направил разработчикам LastPass технические детали уязвимости, используя которую киберпреступники могут собрать последние учётные данные.

Такая атака увенчается успехом в том случае, если все действия совершаются в одной вкладке браузера. В случае внедрения вредоносного iframe запускается цепочка верификации, а затем происходит утечка последних кешированных данных, подставленных в поле «пароль».

«Таким образом, благодаря кликджекингу происходит утечка учётных данных, используемых на предыдущем сайте», — объяснил Орманди в отчёте.

Компания уже выпустила обновлённые версии расширения LastPass.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Требования к софту, претендующему на госзакупки, могут ужесточиться

Минцифры РФ и российские вендоры софта готовят для госреестра изменение правил, а также новые требования к разработкам, которым отдается предпочтение при госзакупках. Согласно плану, новшества вступят в силу в I квартале 2024 года.

Как выяснил «Ъ», речь идет о внесении поправок в постановления правительства 325 и 1236, регулирующие включение продуктов в реестр отечественного софта. Таких участников будут разделять на две основные категории: удовлетворяющие новым требованиям и не соответствующие им.

Поставщики, рассчитывающие на преференции на рынке госзаказа, должны будут дополнительно обеспечить следующее:

  • совместимость продуктов с отечественными процессорами и браузерами;
  • «достаточный уровень переработки» софта, основанного на opensource-компонентах (критерии оценки глубины, видимо, будут определены в рабочем порядке);
  • полную техподдержку;
  • обновление из репозиториев, расположенных на территории России;
  • инфраструктуру для обучения пользователей работе с софтом (возможна аренда).

Для каждой категории софта (СУБД, ОС, офисные пакеты, ИБ-продукты и т. д.) будут введены свои дополнительные требования. Те, кто не в состоянии гарантировать соответствие, смогут рассчитывать только на налоговые льготы.

Согласно пока действующим правилам, включение софта в госреестр возможно при соблюдении ряда условий, в частности:

  • правообладатель зарегистрирован в РФ;
  • доля российских акционеров составляет как минимум 50%;
  • сумма выплат зарубежным правообладателям не выше 30%.

Заметим, за последние годы Минцифры не раз пыталось ужесточить требования к отечественным программным продуктам, на которые теперь вынуждены полагаться госструктуры. Похоже, что на сей раз предложенные изменения станут новой нормой.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru