Google Project Zeroのセキュリティ研究者で、LastPassやその他のアプリケーションに複数の脆弱性を発見したことでも知られるTavis Ormandy氏は、人気のGrammarly Chrome拡張機能（ユーザー数2,200万人）に、ユーザーが訪問した可能性のあるすべてのウェブサイトに認証トークンが公開されるバグを発見した。
重大度の高いバグ
オーマンディ氏はこの脆弱性を「深刻度の高いバグ」と呼びました。これは、あらゆるウェブサイトがユーザーのすべてのドキュメント、履歴、ログ、そしてGrammarly Chrome拡張機能で使用されるその他のすべてのデータにアクセスできるようになるためです。オーマンディ氏は、ウェブサイトにアクセスすることで、別のウェブサイトに入力したデータへのアクセスが許可される場合をユーザーが想定していないため、このバグは非常に深刻であると指摘しました。
Grammarlyの応答
Grammarlyのバグは90日間の開示ポリシーの対象でしたが、オーマンディ氏がGrammarlyにバグを報告した後、Grammarlyはそれよりもはるかに早くバグを修正することができました。Grammarlyによると、オーマンディ氏は金曜日にバグを報告し、Googleのセキュリティ研究者チームと協力することで、数時間以内に修正することができました。
Grammarlyは、このバグが存在していた期間中にユーザー情報が漏洩したという証拠はないと述べています。もちろん、これは必ずしもユーザー情報が漏洩しなかったことを意味するわけではなく、同社にはそのような事態が発生したという証拠がないというだけです。Grammarlyは、このバグがエディターに保存されたテキストに影響を与える可能性があると指摘しています。
その後、Grammarly はバグの影響についてユーザーに安心感を与えました。
このバグは、Grammarlyキーボード、Grammarly Microsoft Officeアドイン、そしてブラウザ拡張機能使用中にウェブサイトで入力されたテキストには影響しませんでした。バグは修正されており、ユーザーの皆様には特に対応いただく必要はありません。引き続き、異常なアクティビティがないか監視を続けています。
高リスクの拡張機能
Grammarly などの拡張機能は、主な機能 (入力内容の修正など) を実行するために、ユーザーがアクセスするすべての Web サイトのデータにアクセスする傾向があるため、これらの拡張機能には特定のリスクが伴うことを認識しておく必要があります。
Tom's Hardware の最高のニュースと詳細なレビューをあなたの受信箱に直接お届けします。
これらのリスクには、本日確認されたような、ウェブサイトがChrome拡張機能のすべてのデータを閲覧できるバグが含まれる可能性があります。拡張機能がアクセスできるデータが多いほど、不正アクセスの影響は深刻化します。あるいは、攻撃者がこれらのサービスのサーバーをハッキングした場合、結果は同様、あるいはそれ以上に悪影響を及ぼす可能性があります。攻撃者は、拡張機能が保存している、または現在アクセスできるすべてのデータにアクセスできるようになります。
