Der letzte Woche gemeldete Einbruch in die Rechner des bekannten Passwort-Safe-Dienstes LastPass ist auf die Nachlässigkeit eines Mitarbeiters zurückzuführen.
Wie LastPass nun offenlegte, verwendeten die noch unbekannten Angreifer teils Daten, die sie bereits im August vergangenen Jahres erbeutet hatten. Der zweite Angriff mit einem Keylogger richtete sich dann speziell gegen einen der vier DevOps-Ingenieure von LastPass und dessen Heimcomputer. Dieser Angriff nutzte eine beinahe drei Jahre alte Schwachstelle – CVE-2020-5741 (CVSS score: 7.2) – in der Medienverwaltung Plex aus. Plex hatte die im März 2020 bekannt gewordene Sicherheitslücke bereits Anfang Mai desselben Jahres geschlossen. Allerdings hatte der LastPass-Ingenieur keine der 75 seitdem erschienenen neuen Versionen als Update auf seinem Rechner eingespielt, weswegen die Angreifer mit der eigentlich längst bereinigten Schwachstelle Erfolg haben konnten.
Habe ich das richtig verstanden? Der entwickelt/verwaltet Software für einen Passwortdienst auf seinem HEIM PC auf dem auch noch ein Plex läuft der aus dem Internet erreichbar ist? Und mit dem Rechner hat er dann auch Zugriff auf die Infrastruktur dort?