Grammarly-selainlaajennusten "vakavuusvirhe" vaarantaa käyttäjien yksityisyyden
Miljoonat kielioppia[1] oikeinkirjoituksen, kieliopin ja kielentarkistuksen käyttäjät, jotka ovat asentaneet Chrome- tai Firefox-laajennuksia, voivat olla vaarassa. Kieliopintarkistussovelluksessa havaittiin "vakavuusvirhe", joka mahdollistaa verkkosivustojen todennustunnisteiden varastamisen. Se tarkoittaa, että hyökkääjät voivat päästä käsiksi kaikkiin käyttäjien sovellukseen lataamiin tietoihin.
Googlen Project Zero -tutkija Tavis Ormandy[2] löysi vian Google Chrome -laajennuksessa, jolla on noin 22 miljoonaa käyttäjää. Lisätutkimus paljasti, että sama ongelma esiintyy lisäosan Firefox-versiossa.
Joidenkin lähteiden mukaan Grammarly Firefox -laajennus asennettiin noin 1 000 000 kertaa. Samaan aikaan Chrome-laajennuksella kerrotaan olevan yli 10 000 000 asennusta.[3] Siksi, jos käytät tätä kielentarkistussovellusta, on parempi varmistaa, että käytät uusinta versiota. Kehittäjät ovat jo toimittaneet haavoittuvuuskorjauksia.[4]
Käyttäjien tietojen vaarantamiseen tarvitaan vain neljä koodiriviä
Todennus itsessään on salausmerkkijono, jonka palvelin asettaa ja toimii selaimen evästeenä, joka asetetaan heti, kun kirjaudut sisään verkkosivustolle. Sitten selain lähettää tiedot takaisin palvelimelle ilmoittaen, että sinä jatkat sivuston selaamista ja käyttöä. Tästä syystä sinun ei tarvitse kirjautua sisään joka kerta, kun napsautat tiettyjä painikkeita tai käyt saman verkkosivuston uusilla sivuilla.
Grammarlyn virhe antaa kuitenkin hyökkääjille mahdollisuuden varastaa käyttäjien tunnuksia ja päästä verkkosivustoille, jotka teeskentelevät sinua. Hyökkääjien tarvitsee käyttää vain neljää koodiriviä manuaalisesti tai komentosarjan avulla.
Tämä koodi luo tunnuksen, joka vastaa Grammarly-evästettä. Heti kun käyttäjä kirjautuu tililleen grammarly.com-sivuston kautta, todennustunnus voidaan varastaa ja kolmannet osapuolet voivat käyttää sitä. Tämän seurauksena hyökkääjät huijaavat palvelinta varmistamaan, että sinä käytät sivustoa ja pääsevät käsiksi tietoihisi:
[Mikä tahansa verkkosivusto voi kirjautua osoitteeseen grammarly.com sinun nimelläsi ja käyttää kaikkia asiakirjojasi, historiaasi, lokejasi ja kaikkia muita tietojasi. Kutsun tätä erittäin vakavaksi bugiksi, koska se vaikuttaa melko vakavalta käyttäjien odotusten vastaiselta.
Muista, että ohjelma ei ainoastaan kerää sinusta erilaisia tietoja (toivottavasti luet heidän tietosuojakäytäntönsä[5]), mutta saattaa tallentaa kopioita tarkastetuista artikkeleistasi, asiakirjoistasi, kirjeistäsi ja muista teksteistäsi, ja tähän olet saattanut sisällyttää mielenkiintoisia tai arkaluonteisia tietoja hyökkääjille.
22 miljoonaa Grammarlyn käyttäjää on varoitettu päivittämään laajennus
Grammarly sai tiedon ongelmasta ja esitti nopeasti päivityksen Chrome Web Storessa. Tästä syystä käyttäjien on varmistettava, että he käyttävät Grammarly Chrome -laajennuksen ajan tasalla olevaa versiota (14.826.1446 tai uudempi).
Mozilla Firefoxin kehittäjät ovat myös korjanneet tämän tietoturva-aukon. Käyttäjien pitäisi kuitenkin saada automaattinen päivitys; On silti suositeltavaa tarkistaa, käyttävätkö he lisäosan 8.804.1449-versiota (tai uudempaa) mahdollisen tietovuodon välttämiseksi.