พบช่องโหว่บน Grammarly Plugin เสี่ยงถูกแฮ็กเกอร์ขโมยข้อมูล

Tavis Ormandy จาก Google Project Zero ออกมาแจ้งเตือนถึงช่องโหว่ความรุนแรงระดับสูงบน Plugin สำหรับตรวจสอบไวยากรณ์ภาษาอังกฤษที่ชื่อว่า Grammarly บน Google Chrome และ Firefox ซึ่งช่วยให้แฮ็กเกอร์สามารถขโมยข้อมูลเอกสารได้ ผู้ใช้กว่า 22 ล้านคนต่างได้รับผลกระทบ

Grammarly เป็นโปรแกรมสำหรับช่วยตรวจสอบการใช้คำศัพท์และไวยากรณ์ภาษาอังกฤษยอดนิยม โดยผู้ใช้สามารถติดตั้งเป็น Plugin บนเว็บเบราว์เซอร์สำหรับใช้ตรวจสอบข้อความภาษาอังกฤษที่พิมพ์ลงไปได้ ซึ่งปัจจุบันนี้มีผู้ใช้มากกว่า 22 ล้านคน อย่างไรก็ตาม Ormandy พบว่า เขาสามารถขโมย Authentication Token จากผู้ใช้ที่ติดตั้ง Plugin บน Chrome และ Firefox ได้โดยใช้โค้ด JavaScript เพียงแค่ 4 บรรทัดเท่านั้น นั่นหมายความว่า เมื่อผู้ใช้ Grammarly เข้าถึงเว็บไซต์ที่มีการใช้ JavaScript ดังกล่าว เจ้าของเว็บไซต์สามารถขโมย Authentication Token ของผู้ใช้คนนั้นเพื่อสวมรอยล็อกอินเข้า Grammarly เพื่อดูเอกสารที่ทำการตรวจไวยากรณ์ ข้อมูลในอดีต Log และข้อมูลอื่นๆ ได้ทันที ส่งผลให้ข้อมูลความลับบนเอกสารเหล่านั้นรั่วไหลสู่ภายนอกได้

Ormandy ได้รายงานช่องโหว่นี้ไปยัง Grammarly เมื่อวันศุกร์ที่ผ่านมา ซึ่งทาง Grammarly ได้ดำเนินการอุดช่องโหว่เป็นที่เรียบร้อยเมื่อช่วงเช้าวันจันทร์ ซึ่งถือว่าเป็นการแก้ไขปัญหาที่รวดเร็วมาก สำหรับอัปเดตใหม่นั้น จะถูกใช้บน Plugin ของทั้ง Chrome และ Firefox โดยอัตโนมัติ โดยที่ผู้ใช้ Grammarly ไม่ต้องดำเนินการใดๆ

ทางโฆษกของ Grammarly ออกมาระบุว่า จนถึงตอนนี้ยังไม่มีหลักฐานใดๆ ที่บ่งชี้ว่ามีผู้ใช้ Grammarly ถูกแฮ็กและขโมยข้อมูลจากช่องโหว่ดังกล่าว

ผู้ที่สนใจสามารถอ่านรายงานเชิงเทคนิคและโค้ด PoC ได้ที่: https://bugs.chromium.org/p/project-zero/issues/detail?id=1527&desc=2

ที่มาและเครดิตรูปภาพ: https://thehackernews.com/2018/02/grammar-checking-software.html


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

SD-WAN กำลังส่งผลกระทบต่อกลยุทธ์ WAN ขององค์กรทั่วโลกอย่างไร

ตั้งแต่ที่ตลาด SD-WAN เกิดขึ้นในช่วงระยะการปรับใช้ตอนต้นและเข้าสู่ระยะเติบโตในปี 2017 การปรับใช้ SD-WAN ก็ได้รับความนิยมทั่วโลกจากข้อมูลการสำรวจตลาดผู้ใช้ปลายทางทั่วโลกของ Frost & Sullivan ที่สนับสนุนโดยซิลเวอร์ พีค  

สรุปแนวโน้มด้านความมั่นคงปลอดภัยไซเบอร์ปี 2019 โดย Check Point

ภายในงาน CPX360 ซึ่งเป็นงานสัมมนาใหญ่ประจำปีของ Check Point ทางทีมงาน TechTalkThai ได้มีโอกาสเข้าร่วมฟังบรรยายสถิติการโจมตีที่พบบ่อยในปี 2018 และคาดการณ์แนวโน้มของการโจมตีที่จะเกิดขึ้นในปี 2019 จึงนำมาสรุปให้ได้อ่านกันครับ นอกจากนี้ Check Point …