"Ozbiljna greška" u proširenjima preglednika Grammarly dovodi u opasnost privatnost korisnika
Milijuni Grammarly[1] Korisnici provjere pravopisa, gramatike i jezika koji su instalirali proširenja za Chrome ili Firefox mogli bi biti u opasnosti. Otkriven je "greška ozbiljnosti" u aplikaciji za provjeru gramatike koja omogućuje krađu tokena za provjeru autentičnosti na web-mjesto. To znači da napadači mogu dobiti pristup svim podacima koje su korisnici prenijeli u aplikaciju.
Googleov istraživač Project Zero Tavis Ormandy[2] otkrio nedostatak u proširenju za Google Chrome koje ima oko 22 milijuna korisnika. Daljnja istraga otkrila je da isti problem postoji u Firefox verziji dodatka.
Prema nekim izvorima, proširenje Grammarly Firefox instalirano je oko 1.000.000 puta. U međuvremenu, za Chrome proširenje se kaže da ima više od 10.000.000 instalacija.[3] Stoga, ako koristite ovu aplikaciju za provjeru jezika, bolje je provjeriti koristite li najnoviju verziju. Programeri su već dali zakrpe za ranjivost.[4]
Potrebne su samo četiri retka koda da se kompromitiraju informacije korisnika
Sama autentifikacija je kriptografski niz koji postavlja poslužitelj i djeluje kao kolačić preglednika koji se postavlja čim se prijavite na web stranicu. Zatim preglednik šalje natrag informacije poslužitelju obavještavajući da ste vi ti koji nastavljate pregledavati i koristiti stranicu. Iz tog razloga, ne morate se prijavljivati svaki put kada kliknete određene gumbe ili posjetite nove stranice na istoj web stranici.
Međutim, nedostatak u Grammarlyju omogućuje napadačima da ukradu korisničke tokene i pristupe web stranicama koje se pretvaraju da ste vi. Da bi to učinili, napadači trebaju upotrijebiti samo četiri retka koda ručno ili pomoću skripte.
Ovaj kod generira token koji odgovara Grammarly kolačiću. Čim se korisnik prijavi na svoj račun putem grammarly.com, token za autentifikaciju mogu ukrasti i koristiti treće strane. Kao rezultat toga, napadači prevare poslužitelj da ste vi taj koji koristi stranicu i dobivaju pristup vašim podacima:
[Svaka] web stranica može se prijaviti na grammarly.com kao vi i pristupiti svim vašim dokumentima, povijesti, zapisnicima i svim ostalim podacima. Ovo nazivam bugom visoke ozbiljnosti jer se čini kao prilično ozbiljno kršenje očekivanja korisnika.
Imajte na umu da program ne samo da prikuplja različite podatke o vama (nadamo se da ste pročitali njihovu politiku privatnosti[5]), ali možete spremiti kopije vaših provjerenih članaka, dokumenata, pisama i drugih tekstova, a ovdje ste možda uključili neke zanimljive ili osjetljive informacije za napadače.
22 milijuna korisnika Grammarlyja upozoreno je da ažuriraju proširenje
Grammarly je obaviješten o problemu i brzo je predstavio ažuriranje u Chrome web trgovini. Stoga korisnici moraju biti sigurni da koriste ažuriranu verziju proširenja Grammarly Chrome (14.826.1446 ili noviju).
Programeri Mozilla Firefoxa također su zakrpili ovu sigurnosnu ranjivost. Ipak, korisnici bi trebali dobiti automatsko ažuriranje; i dalje se preporuča provjeriti koriste li 8.804.1449 verziju (ili noviju) verziju dodatka kako bi izbjegli moguće curenje podataka.