检测

LastPass Firefox Extension 4.0 < 4.1.21a 消息劫持

high Nessus 插件 ID 92660

语言：

简介

远程主机上安装的密码管理器受到一个远程消息劫持漏洞影响。

描述

根据其版本，远程 Windows 主机上安装的 LastPass Firefox 扩展为低于 4.1.21a 的 4.0.x。因此，它会受到一个消息劫持漏洞影响，此漏洞是因不当验证在扩展和有权限的 iframe 之间发送的消息所导致。未经认证的远程攻击者可利用此问题，诱骗用户加载特别构建的网页，其以编程方式点击 LastPass 修改的输入元素，进而可完全控制 LastPass 扩展，包括：创建和删除文件、执行脚本和泄露密码。

解决方案

升级到 LastPass Firefox 扩展 4.1.21a 或更高版本。

另见

https://bugs.chromium.org/p/project-zero/issues/detail?id=884

https://blog.lastpass.com/2016/07/lastpass-security-updates.html/

https://thehackernews.com/2016/07/lastpass-password-manager.html

插件详情

严重性: High

ID: 92660

文件名: lastpass_4_1_21a_firefox_extension_message_hijacking.nasl

版本: 1.7

类型: local

代理: windows

系列: Windows

发布时间: 2016/8/1

最近更新时间: 2018/11/15

支持的传感器: Nessus Agent, Nessus

风险信息

CVSS v2

风险因素: High

基本分数: 9.3

时间分数: 6.9

矢量: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C

CVSS v3

风险因素: High

基本分数: 8.8

时间分数: 7.7

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: x-cpe:/a:lastpass:lastpass

必需的 KB 项: Browser/Firefox/Extension

补丁发布日期: 2016/7/27

漏洞发布日期: 2016/7/27