ช่องโหว่ทางไวยากรณ์ที่สำคัญทำให้สามารถขโมยข้อมูลของผู้ใช้ได้

“จุดบกพร่องระดับความรุนแรง” ในส่วนขยายเบราว์เซอร์ Grammarly ทำให้ความเป็นส่วนตัวของผู้ใช้ตกอยู่ในความเสี่ยง

ล้านไวยากรณ์^[1] ผู้ใช้เครื่องตรวจการสะกด ไวยากรณ์ และภาษาที่ติดตั้งส่วนขยาย Chrome หรือ Firefox อาจตกอยู่ในอันตราย ตรวจพบ “จุดบกพร่องระดับความรุนแรง” ในแอปตรวจสอบไวยากรณ์ซึ่งทำให้สามารถขโมยโทเค็นการตรวจสอบสิทธิ์ไปยังเว็บไซต์ได้ หมายความว่าผู้โจมตีสามารถเข้าถึงข้อมูลทั้งหมดที่ผู้ใช้อัปโหลดไปยังแอปได้

Tavis Ormandy นักวิจัย Project Zero ของ Google^[2] ค้นพบข้อบกพร่องในส่วนขยายของ Google Chrome ที่มีผู้ใช้ประมาณ 22 ล้านคน การตรวจสอบเพิ่มเติมพบว่ามีปัญหาเดียวกันนี้ในโปรแกรมเสริมเวอร์ชัน Firefox

แหล่งอ้างอิงบางแหล่ง ส่วนขยาย Grammarly Firefox ได้รับการติดตั้งประมาณ 1,000,000 ครั้ง ในขณะเดียวกัน ส่วนขยายของ Chrome มีการติดตั้งมากกว่า 10,000,000 ครั้ง^[3] ดังนั้น หากคุณใช้แอปตรวจสอบภาษานี้ ควรตรวจสอบให้แน่ใจว่าคุณใช้เวอร์ชันล่าสุด นักพัฒนาได้จัดเตรียมแพตช์ช่องโหว่ไว้แล้ว^[4]

ใช้รหัสเพียงสี่บรรทัดในการประนีประนอมข้อมูลของผู้ใช้

การตรวจสอบสิทธิ์นั้นเป็นสตริงการเข้ารหัสซึ่งตั้งค่าโดยเซิร์ฟเวอร์และทำงานเป็นคุกกี้ของเบราว์เซอร์ซึ่งได้รับการตั้งค่าทันทีที่คุณลงชื่อเข้าใช้เว็บไซต์ จากนั้นเบราว์เซอร์จะส่งข้อมูลกลับไปยังเซิร์ฟเวอร์เพื่อแจ้งว่าคุณเป็นผู้ที่เรียกดูและใช้ไซต์ต่อไป ด้วยเหตุผลนี้ คุณไม่จำเป็นต้องเข้าสู่ระบบทุกครั้งที่คุณคลิกปุ่มใดปุ่มหนึ่งหรือเยี่ยมชมหน้าใหม่บนเว็บไซต์เดียวกัน

อย่างไรก็ตาม ข้อบกพร่องใน Grammarly ทำให้ผู้โจมตีสามารถขโมยโทเค็นของผู้ใช้และเข้าถึงเว็บไซต์ที่แอบอ้างเป็นคุณ ในการดำเนินการดังกล่าว ผู้โจมตีต้องใช้โค้ดเพียงสี่บรรทัดไม่ว่าจะด้วยตนเองหรือโดยใช้สคริปต์

รหัสนี้สร้างโทเค็นที่ตรงกับคุกกี้ Grammarly ทันทีที่ผู้ใช้ลงชื่อเข้าใช้บัญชีของตนผ่าน grammarly.com โทเค็นการตรวจสอบสิทธิ์จะถูกขโมยและใช้งานโดยบุคคลที่สาม เป็นผลให้ผู้โจมตีหลอกลวงเซิร์ฟเวอร์ว่าเป็นคุณที่กำลังใช้ไซต์และเข้าถึงข้อมูลของคุณ:

[A] เว็บไซต์ใด ๆ สามารถเข้าสู่ระบบ grammarly.com ในขณะที่คุณเข้าถึงเอกสาร ประวัติ บันทึก และข้อมูลอื่น ๆ ทั้งหมดของคุณ ฉันเรียกสิ่งนี้ว่าข้อบกพร่องที่มีความรุนแรงสูง เพราะดูเหมือนว่าเป็นการละเมิดความคาดหวังของผู้ใช้อย่างร้ายแรง

โปรดทราบว่าโปรแกรมไม่เพียงแต่รวบรวมข้อมูลต่างๆ เกี่ยวกับคุณเท่านั้น (เราหวังว่าคุณจะอ่านนโยบายความเป็นส่วนตัวของพวกเขา^[5]) แต่อาจบันทึกสำเนาของบทความ เอกสาร จดหมาย และข้อความอื่นๆ ที่ตรวจสอบแล้ว และคุณอาจรวมข้อมูลที่น่าสนใจหรือละเอียดอ่อนสำหรับผู้โจมตีไว้ที่นี่

ผู้ใช้ Grammarly 22 ล้านคนได้รับคำเตือนให้อัปเดตส่วนขยาย

Grammarly ได้รับแจ้งเกี่ยวกับปัญหาและนำเสนอการอัปเดตใน Chrome เว็บสโตร์อย่างรวดเร็ว ดังนั้น ผู้ใช้จึงต้องตรวจสอบให้แน่ใจว่ากำลังใช้ส่วนขยาย Grammarly Chrome เวอร์ชันล่าสุด (14.826.1446 หรือใหม่กว่า)

ผู้พัฒนา Mozilla Firefox ได้แก้ไขช่องโหว่ด้านความปลอดภัยนี้ด้วย อย่างไรก็ตาม ผู้ใช้ควรได้รับการอัพเดตอัตโนมัติ ยังคงแนะนำให้ตรวจสอบว่าใช้ส่วนเสริมเวอร์ชัน 8.804.1449 (หรือใหม่กว่า) เพื่อหลีกเลี่ยงการรั่วไหลของข้อมูลที่อาจเกิดขึ้น