当前位置:安全资讯 >> 全文

引狼入室:Windows 10 预装的密码管理器能窃取用户所有密码

发布时间:2017-12-18 10:21 标签: 微软预装,Keeper,密码管理器
分享到 0

谷歌研究员 Tavis Ormandy 发现并协助微软修复了部分 Windows 10 绑定的密码管理器 Keeper 中的一个严重漏洞。

Ormandy 表示,“我听说了 Keeper,记得不久前我提交了一个关于如何将权限 UI 注入页面的bug。我查看后发现在 Windows 10之中也存在这种现象。我觉得为这个 bug 赢得90天的披露期限方面自己做得很慷慨,因为我实际上只是变换了选择器,同样的攻击就能运行。尽管如此,这是对 Keeper 安全性的完全攻陷,能让任何站点窃取任何密码。”

为证明自己的观点,Ormandy 还创建了一个演示页面,供Keeper 用户验证漏洞的运作方式。

Keeper 证实错误的存在并发布紧急更新

Keeper 安全的联合创始人兼首席信息官 Craig Lurey 指出,“这个潜在的漏洞利用要求用户在登录浏览器扩展时被诱骗点击恶意站点,然后恶意站点会通过‘点击劫持’技术伪造用户输入,在浏览器扩展中执行权限代码。”

该问题影响的是 Keeper 浏览器扩展版本 11.3Keeper 团队在收到 Ormandy 的报告后不到24小时的时间里发布了更新。新版本 11.4 正在向用户推出。Lurey 表示在彻底修复该缺陷之前会禁用有问题的“添加至现有 (Add to Existing)”功能。

漏洞未遭利用

Lurey 表示,Keeper 公司并未发现利用该漏洞的攻击迹象,消费者也未报告类似安全事件。

Ormandy 是谷歌精英安全团队 Project Zero 的成员之一。上周该团队的研究人员曾发现了一个缺陷并公布了一款能让用户越狱运行 iOS 版本11.2及之前版本的设备工具。

 

本文由360代码卫士编译,不代表360观点,转载请注明“转自360代码卫士www.codesafe.cn”。
原文链接:https://www.bleepingcomputer.com/news/security/windows-10-bundles-a-password-manager-password-manager-bundles-a-security-flaw/
参与讨论,请先 登录 | 注册

用户评论