Vrijdag publiceerde het onderzoeksteam van otto-js een artikel over hoe gebruikers de geavanceerde spellingcontrolefuncties van Google Chrome of Microsoft Edge kan onbewust wachtwoorden en persoonlijk identificeerbare informatie (PII) verzenden naar cloudservers van derden. Deze kwetsbaarheid brengt niet alleen de privégegevens van de gemiddelde eindgebruiker in gevaar, maar kan er ook voor zorgen dat de beheerdersreferenties en andere infrastructuurgerelateerde informatie van een organisatie onbeveiligd blijven voor buitenstaanders.
De kwetsbaarheid werd ontdekt door Josh Summit, mede-oprichter en CTO van otto-js, tijdens het testen van de detectiemogelijkheden van scriptgedrag van het bedrijf. Tijdens het testen ontdekten Samit en het otto-js-team dat de juiste combinatie van functies in de verbeterde spellingcontrole van Chrome of MS Editor in Edge onbedoeld veldgegevens openbaarde die PII en andere gevoelige informatie bevatten wanneer deze naar de servers werden teruggestuurd. Microsoft en Googlen. Beide functies vereisen expliciete acties van gebruikers om ze in te schakelen, en als ze eenmaal zijn ingeschakeld, zijn gebruikers zich er vaak niet van bewust dat hun gegevens met derden worden gedeeld.
Naast de veldgegevens ontdekte het otto-js-team ook dat wachtwoorden van gebruikers konden worden onthuld via de optie voor wachtwoordviewer. Deze optie, die gebruikers helpt te voorkomen dat ze verkeerd wachtwoorden invoeren, stelt het wachtwoord onbedoeld bloot aan servers van derden via geavanceerde spellingcontrolefuncties.
Individuele gebruikers zijn niet de enige partijen die risico lopen. Het beveiligingslek kan ertoe leiden dat bedrijfsreferenties worden aangetast door ongeautoriseerde derden. Het otto-js-team heeft de volgende voorbeelden gegeven die laten zien hoe gebruikers die zijn ingelogd bij cloudservices en infrastructuuraccounts onbewust hun inloggegevens naar servers kunnen verzenden Microsoft of Google.
De eerste afbeelding (hierboven) toont een voorbeeld van inloggen op een Alibaba Cloud-account. Wanneer u inlogt via Chrome, verzendt de functie voor geavanceerde spellingcontrole query-informatie naar Google-servers zonder toestemming van de beheerder. Zoals u kunt zien in de schermafbeelding (hieronder), omvat deze informatie het daadwerkelijke wachtwoord dat is ingevoerd om in te loggen op de cloud van het bedrijf. Toegang tot dit soort informatie kan tot van alles leiden, van de diefstal van bedrijfs- en klantgegevens tot het volledig in gevaar brengen van kritieke infrastructuur.
Het otto-js-team voerde tests en analyses uit op benchmarks die gericht waren op sociale media, kantoortools, gezondheidszorg, overheid, e-commerce en bank-/financiële diensten. Ruim 96% van de 30 geteste controlegroepen stuurde gegevens terug naar Microsoft en Googlen. 73% van de geteste sites en groepen stuurde wachtwoorden naar servers van derden toen de optie werd geselecteerd laat wachtwoord zien. Die sites en services die geen wachtwoorden stuurden, hadden de functie gewoon niet laat wachtwoord zien en waren niet noodzakelijkerwijs goed beschermd.
Het otto-js-team heeft contact opgenomen Microsoft 365, Alibaba Cloud, Google Cloud, AWS en LastPass, de top vijf van sites en cloudserviceproviders die het grootste risico vormen voor zakelijke klanten. Volgens de beveiligingsupdates van het bedrijf hebben AWS en LastPass al gereageerd en gemeld dat het probleem met succes is opgelost.
U kunt Oekraïne helpen vechten tegen de Russische indringers. De beste manier om dit te doen is door geld te doneren aan de strijdkrachten van Oekraïne via Red het leven of via de officiële pagina NBU.
Lees ook:
Blijf kalm, gebruik Firefox
+