安全专家Ormandy再曝LastPass漏洞

3月20日，Google Project Zero的研究专家Tavis Ormandy在LastPass浏览器扩展程序中发现了两个远程可执行代码（RCE）漏洞。

LastPass团队在推文中获悉这个BUG之后，表示非常重视他所报告的内容，然后团队表示在正式发布解决方案之前先提供了临时的解决方案。美国东部时间3月22日下午2点49分钟，面向Firefox和Chrome浏览器的扩展程序发布了包含补丁程序的新版本，而Opera和Edge浏览器的扩展程序目前还在审核状态。随后，LastPass团队在私人博客上发布了关于本次BUG的完整报告。

3月25日，Tavis在推文中披露了另一个漏洞，影响4.1.43版本，是Google Chrome的最新版本。为此这款知名密码管理软件的团队在3月20日发布的博文中再添加了一项声明：

2017年3月25日（下午5点）更新：我们的团队目前正在调查Tavis Ormandy报告的新问题，当我们掌握充足信息的时候我们将会在社区内进行公布。谢谢大家的支持。

今天，LastPass在社区更新帖子中明确，相关的修复补丁已经着手研制，上周末发现的客户端漏洞可以被那些具备资深技术的攻击者利用。在完全修复这个BUG之前，公司拒绝披露任何关于这个漏洞的详细信息。