พบช่องโหว่บน Grammarly Plugin เสี่ยงถูกแฮ็กเกอร์ขโมยข้อมูล

Tavis Ormandy จาก Google Project Zero ออกมาแจ้งเตือนถึงช่องโหว่ความรุนแรงระดับสูงบน Plugin สำหรับตรวจสอบไวยากรณ์ภาษาอังกฤษที่ชื่อว่า Grammarly บน Google Chrome และ Firefox ซึ่งช่วยให้แฮ็กเกอร์สามารถขโมยข้อมูลเอกสารได้ ผู้ใช้กว่า 22 ล้านคนต่างได้รับผลกระทบ

Grammarly เป็นโปรแกรมสำหรับช่วยตรวจสอบการใช้คำศัพท์และไวยากรณ์ภาษาอังกฤษยอดนิยม โดยผู้ใช้สามารถติดตั้งเป็น Plugin บนเว็บเบราว์เซอร์สำหรับใช้ตรวจสอบข้อความภาษาอังกฤษที่พิมพ์ลงไปได้ ซึ่งปัจจุบันนี้มีผู้ใช้มากกว่า 22 ล้านคน อย่างไรก็ตาม Ormandy พบว่า เขาสามารถขโมย Authentication Token จากผู้ใช้ที่ติดตั้ง Plugin บน Chrome และ Firefox ได้โดยใช้โค้ด JavaScript เพียงแค่ 4 บรรทัดเท่านั้น นั่นหมายความว่า เมื่อผู้ใช้ Grammarly เข้าถึงเว็บไซต์ที่มีการใช้ JavaScript ดังกล่าว เจ้าของเว็บไซต์สามารถขโมย Authentication Token ของผู้ใช้คนนั้นเพื่อสวมรอยล็อกอินเข้า Grammarly เพื่อดูเอกสารที่ทำการตรวจไวยากรณ์ ข้อมูลในอดีต Log และข้อมูลอื่นๆ ได้ทันที ส่งผลให้ข้อมูลความลับบนเอกสารเหล่านั้นรั่วไหลสู่ภายนอกได้

Ormandy ได้รายงานช่องโหว่นี้ไปยัง Grammarly เมื่อวันศุกร์ที่ผ่านมา ซึ่งทาง Grammarly ได้ดำเนินการอุดช่องโหว่เป็นที่เรียบร้อยเมื่อช่วงเช้าวันจันทร์ ซึ่งถือว่าเป็นการแก้ไขปัญหาที่รวดเร็วมาก สำหรับอัปเดตใหม่นั้น จะถูกใช้บน Plugin ของทั้ง Chrome และ Firefox โดยอัตโนมัติ โดยที่ผู้ใช้ Grammarly ไม่ต้องดำเนินการใดๆ

ทางโฆษกของ Grammarly ออกมาระบุว่า จนถึงตอนนี้ยังไม่มีหลักฐานใดๆ ที่บ่งชี้ว่ามีผู้ใช้ Grammarly ถูกแฮ็กและขโมยข้อมูลจากช่องโหว่ดังกล่าว

ผู้ที่สนใจสามารถอ่านรายงานเชิงเทคนิคและโค้ด PoC ได้ที่: https://bugs.chromium.org/p/project-zero/issues/detail?id=1527&desc=2

ที่มาและเครดิตรูปภาพ: https://thehackernews.com/2018/02/grammar-checking-software.html