パスワードマネージャー「LastPass」に最後に使ったパスワードが漏れるバグが存在

by TBIT

複数のIDやパスワードの管理を手助けしてくれるパスワードマネージャー「LastPass」のブラウザ拡張機能に、最後に利用したサイトの認証情報が漏れてしまうバグがあることが報告されました。すでにLastPassでは修正版をリリースしており、拡張機能は自動的に更新されるとのこと。

LastPass Bug Reported & Resolved - The LastPass Blog
https://blog.lastpass.com/2019/09/lastpass-bug-reported-resolved.html/

1930 - lastpass: bypassing do_popupregister() leaks credentials from previous site - project-zero - Monorail
https://bugs.chromium.org/p/project-zero/issues/detail?id=1930

バグを報告したのはGoogle Project Zeroのセキュリティ研究者、Tavis Ormandy氏。攻撃者がバグを悪用したクリックジャッキングを行うと、LastPassを用いて最後に入力したサイト認証情報が抜き取られる恐れがあるとのこと。

バグによる潜在的な危険性が存在したのはGoogle ChromeとOpera向けのブラウザ拡張機能だとのことですが、念のために、修正アップデートは全ブラウザ向けに配信されており、ユーザー側が特別な操作をしなくても自動的に更新されます。ただ、拡張機能の自動更新をオフにしている場合は、手動での更新が必要です。