хакери зламали LastPass, оскільки інженер не зміг оновити програмне забезпечення Plex

В LastPass спостерігається масовий витік даних, а все тому що один з інженерів не зміг оновити Plex на домашньому комп'ютері. Для багатьох компаній це послужить цінним уроком щодо того, що нездатність підтримувати Програмне забезпечення в актуальному стані може обернутися великою небезпекою. Цю новину повідомив the Наскег News 7 березня 2023 року, посилаючись на Plex.

LastPass, що характеризується як служба управління паролями, в рамках минулого тижня поділилася тим, що хакери зламали і завантажили дані ще в середині 2022 року, і тепер користуються цією інформацією. Таким чином, в рамках злому зловмисник отримав частково зашифровані дані сховища паролів і інформацію про клієнтів.

Потім відбулася повторна атака, націлена на одного з чотирьох інженерів DevOps, точніше, на його домашній комп'ютер за допомогою так званого кейлоггера, щоб отримати облікові дані і зламати середовище хмарного сховища. І це виявилося можливим, тому що на комп'ютері жертви знаходилася вразливість трирічної давності, яка в даний час виправлена, але не в інженера. Ця проблема дозволила зловмиснику завантажити шкідливий файл за допомогою функції завантаження з камери і змусити медіасервер виконати його.

Вразливість CVE-2020-5741 характеризується як відсутність десеріалізації. Вона зачіпає Plex Media Server в Windows, даючи можливість зловмиснику, який пройшов перевірку автентичності, виконувати довільний код Python в контексті поточного користувача операційної системи. Недолік, виявлений та повідомлений Plex компанією Tenable у березні 2020 року, був усунений Plex у травні. Але виявилося, що співробітник LastPass ніколи не оновлював своє програмне забезпечення, щоб активувати патч.

Раніше «WorldBank.org.ua» розповів  про те, що LastPass визнає, що хакери зламали платформу і вкрали сховища паролів клієнтів.