Grammarly pārlūkprogrammas paplašinājumu “nopietnības kļūda” apdraud lietotāja privātumu
Miljoniem gramatikas[1] pareizrakstības, gramatikas un valodas pārbaudītāja lietotāji, kuri instalēja Chrome vai Firefox paplašinājumus, var būt apdraudēti. Gramatikas pārbaudes lietotnē tika atklāta "nopietnības kļūda", kas ļauj nozagt vietņu autentifikācijas pilnvaras. Tas nozīmē, ka uzbrucēji var piekļūt visiem datiem, ko lietotāji augšupielādējuši lietotnē.
Google Project Zero pētnieks Tavis Ormandy[2] atklāja trūkumu Google Chrome paplašinājumā, kuram ir aptuveni 22 miljoni lietotāju. Turpmākajā izmeklēšanā atklājās, ka tā pati problēma pastāv pievienojumprogrammas Firefox versijā.
Saskaņā ar dažiem avotiem, Grammarly Firefox paplašinājums tika instalēts aptuveni 1 000 000 reižu. Tikmēr tiek ziņots, ka Chrome paplašinājums ir instalējis vairāk nekā 10 000 000.[3] Tāpēc, ja izmantojat šo valodas pārbaudes lietotni, labāk ir pārliecināties, vai izmantojat jaunāko versiju. Izstrādātāji jau ir nodrošinājuši ievainojamības ielāpus.[4]
Lai kompromitētu lietotāja informāciju, nepieciešamas tikai četras koda rindiņas
Pati autentifikācija ir kriptogrāfiska virkne, ko iestata serveris un kas darbojas kā pārlūkprogrammas sīkfails, kas tiek iestatīts, tiklīdz jūs piesakāties vietnē. Pēc tam pārlūkprogramma nosūta atpakaļ informāciju serverim, informējot, ka tas esat jūs, kurš turpina pārlūkot un lietot vietni. Šī iemesla dēļ jums nav jāpiesakās katru reizi, kad noklikšķināt uz noteiktām pogām vai apmeklējat jaunas lapas tajā pašā vietnē.
Tomēr Grammarly trūkums ļauj uzbrucējiem nozagt lietotāja marķierus un piekļūt vietnēm, kas uzdodas par jums. Lai to izdarītu, uzbrucējiem manuāli vai izmantojot skriptu ir jāizmanto tikai četras koda rindiņas.
Šis kods ģenerē marķieri, kas atbilst Grammarly sīkfailam. Tiklīdz lietotājs piesakās savā kontā, izmantojot grammarly.com, autentifikācijas marķieris var tikt nozagts un izmantots trešām personām. Rezultātā uzbrucēji apmāna serveri, ka vietni lietojat jūs un iegūstat piekļuvi jūsu informācijai:
[Jebkura vietne var pieteikties vietnē grammarly.com kā jūs un piekļūt visiem jūsu dokumentiem, vēsturei, žurnāliem un visiem citiem datiem. Es to saucu par ļoti nopietnu kļūdu, jo šķiet, ka tas ir diezgan nopietns lietotāju cerību pārkāpums.
Ņemiet vērā, ka programma ne tikai apkopo dažādu informāciju par jums (ceram, ka jūs izlasiet viņu konfidencialitātes politiku[5]), taču var tikt saglabātas jūsu pārbaudīto rakstu, dokumentu, vēstuļu un citu tekstu kopijas, un šeit, iespējams, esat iekļāvis uzbrucējiem interesantu vai sensitīvu informāciju.
22 miljoni Grammarly lietotāju tiek brīdināti atjaunināt paplašinājumu
Grammarly tika informēts par problēmu un ātri iepazīstināja ar atjauninājumu Chrome interneta veikalā. Tādējādi lietotājiem ir jāpārliecinās, ka viņi izmanto jaunāko Grammarly Chrome paplašinājuma versiju (14.826.1446 vai jaunāku).
Mozilla Firefox izstrādātāji arī aizlāpa šo drošības ievainojamību. Tomēr lietotājiem ir jāsaņem automātisks atjauninājums; joprojām ir ieteicams pārbaudīt, vai viņi izmanto papildinājuma versiju 8.804.1449 (vai jaunāku), lai izvairītos no iespējamas datu noplūdes.