Kerentanan ekstensi peramban Lastpass mengungkapkan: cara tetap aman

Salah satu pengelola Kata Sandi yang paling populer LastPass menghadapi masalah parah dengan ekstensi perambannya karena banyak kerentanan terungkap dengan layanan selama seminggu terakhir, dan mereka masih bertahan.

Teknologi terus berkembang, dan meskipun itu dimaksudkan untuk meningkatkan gaya hidup kita, kadang-kadang bahkan dapat merusak jika bug tertentu dieksploitasi, terutama ketika layanan seperti LastPass, yang bertanggung jawab untuk menjaga puluhan juta kata sandi, yang bersangkutan.

Pekan lalu, pada 20 Maret, Tavis Ormandy, seorang peneliti di Project Zero Google, menemukan dua bug dalam ekstensi browser LastPass yang membuat pengguna rentan terhadap eksekusi kode jarak jauh.

Kerentanan yang diungkapkan mempengaruhi pengguna bisnis dan pribadi dari layanan.

Kerentanan Terungkap Selama Satu Minggu Terakhir?

20 Maret: Tavis Ormandy menemukan dua kerentanan Eksekusi Kode Jarak Jauh (RCE) yang memengaruhi ekstensi peramban LastPass - berpotensi memungkinkan penyerang untuk mencuri kata sandi.

Ups, bug LastPass baru yang memengaruhi 4.1.42 (Chrome & FF). RCE jika Anda menggunakan "Binary Component", jika tidak dapat mencuri pwds. Laporan lengkap dalam perjalanan. pic.twitter.com/y92vm3Ibxd

- Tavis Ormandy (@taviso) 20 Maret 2017

21 Maret: LastPass mengakui laporan Ormandy dan mengkonfirmasi bahwa kerentanan ada dan tim mereka akan bekerja untuk memperbaikinya.

Kami mengetahui laporan oleh @taviso dan tim kami telah menyelesaikannya sementara kami mengerjakan resolusi. Nantikan pembaruan.

- LastPass (@LastPass) 21 Maret 2017

22 Maret: Perusahaan mengumumkan bahwa mereka telah merilis versi baru ekstensi browser Chrome (v 4.1.43) dan Firefox (v 4.1.36) dengan pembaruan keamanan telah tersedia.

Mereka juga menyebutkan bahwa tidak ada data yang dikompromikan di antara periode ini dan pengguna tidak perlu khawatir tentang mengubah kredensial mereka. Versi terbaru dari ekstensi browser Microsoft Edge dan Opera akan dirilis sambil menunggu persetujuan perusahaan.

25 Maret: Tavis Ormandy mengungkap kerentanan lain yang dihadapi oleh versi terbaru dari ekstensi browser Google Chrome (v 4.1.43). LastPass mengakui kerentanan dalam pembaruan pengumuman 22 Maret mereka.

Ah-ha, saya punya pencerahan di kamar mandi pagi ini dan menyadari bagaimana cara mendapatkan codeexec di LastPass 4.1.43. Laporan lengkap dan eksploitasi di jalan. pic.twitter.com/vQn20D9VCy

- Tavis Ormandy (@taviso) 25 Maret 2017

27 Maret: LastPass mengeluarkan pernyataan, “Kami tidak secara aktif menangani kerentanan. Serangan ini unik dan sangat canggih. Kami tidak ingin mengungkapkan sesuatu yang spesifik tentang kerentanan atau perbaikan kami yang dapat mengungkapkan apa pun kepada pihak yang kurang canggih namun jahat."

Bagaimana Tetap Aman?

Saat ini, LastPass telah mengkonfirmasi bahwa ia sedang bekerja untuk memperbaiki masalah keamanan dengan layanan mereka dan perbaikan penuh dapat diharapkan segera. Sementara itu, disarankan bagi pengguna LastPass untuk memperhatikan tindakan pencegahan berikut.

• Untuk menjaga kredensial login mereka, pengguna disarankan untuk menonaktifkan ekstensi browser sementara itu dan meluncurkan situs web langsung dari LastPass Vault hingga kerentanan dipecahkan oleh perusahaan.
• Aktifkan Otentikasi Dua Faktor untuk semua akun yang menawarkan opsi, berikan lapisan keamanan tambahan pada akun Anda seandainya kerentanan dieksploitasi oleh penyerang.
• Waspadai serangan phishing. Jangan mengklik tautan dari sumber yang tidak tepercaya - orang yang tidak Anda kenal

Mencari alternatif untuk LastPass? Lihat 3 alternatif teratas di sini.