LastPass

LastPass上周才修補兩個由Google Project Zero安全團隊人員所揭露的瀏覽器擴充程式漏洞，本周LastPass揭露再收到同一安全人員的通報，指瀏覽器擴充程式還有漏洞，目前正在積極搶修中。

LastPass修補了兩項由Google Project Zero安全團隊成員Tavis Ormandy通報的漏洞，影響Firefox、Chrome、Edge、Opera等主要的桌面瀏覽器，駭客透過漏洞讓惡意網站冒充合法網站取得憑證，甚至可能發動遠端程式攻擊。

安全公司Praesido技術長Sean Cassidy發現LastPass存在一個可跨站偽造登出訊息的logout CSRF漏洞，使駭客可利用第三方的惡意網站向LastPass用戶發出登出的訊息通知，並將用戶導入釣魚的登入頁面，竊取用戶的帳號、密碼、雙因素驗證資訊，甚至可能取得LastPass中的密碼及文件。

LastPass調查發現駭客取得用戶的電子郵件帳號、密碼提醒字串、驗證雜湊，以及雜湊中的「鹽巴」（salts），但用戶帳號或是加密的密碼資料庫並未被存取。