Theo nhà nghiên cứu Tavis Ormandy thuộc nhóm Google Project Zero – người đã phát hiện lỗ hổng này vào ngày 02/02, tiện ích mở rộng trên Chrome và Firefox của Grammarly để lộ token xác thực cho tất cả các website. Token xác thực này có thể bị tin tặc truy cập từ xa chỉ với 4 dòng lệnh JavaScript. Nói cách khác, bất kỳ website nào mà người dùng Grammarly truy cập đều có thể đánh cắp token xác thực của người dùng, từ đó cho phép kẻ xấu đăng nhập vào tài khoản, truy cập mọi tài liệu, lịch sử, nhật ký sử dụng và các dữ liệu khác.
Ormandy cho rằng đây là lỗi cực kỳ nghiêm trọng, vì nó vi phạm nghiêm trọng đến người dùng. Người dùng sẽ không muốn khi ghé thăm một website sẽ cho phép trang đó truy cập mọi tài liệu và dữ liệu của họ trong các website khác. Ông cũng cung cấp một bản chứng minh khái niệm (PoC) của khai thác, cho thấy sự dễ dàng của việc lợi dụng lỗ hổng này chỉ với 4 dòng lệnh để đánh cắp token truy cập của người dùng Grammarly.
Grammarly đã khắc phục lỗi nghiêm trọng này rất kịp thời. Bản vá cho tiện ích mở rộng trên trình duyệt Chrome và Firefox được phát hành 4 ngày sau khi thông tin về lỗ hổng được cung cấp. Bản vá được cập nhật tự động, không cần người dùng phải thực hiện bất kỳ thao tác nào.
Người phát ngôn của Grammarly cũng viết trong thư điện tử rằng, công ty chưa có bằng chứng nào cho thấy lỗ hổng này đã bị khai thác trong thực tế. Grammarly đã xử lý lỗ hổng bảo mật chỉ vài giờ sau khi lỗ hổng được phát hiện. Theo ông, Grammarly đang tiếp tục chủ động theo dõi mọi hoạt động bất thường.
Lỗ hổng này có thể ảnh hưởng tới các đoạn văn bản lưu trong Grammarly Editor, tuy nhiên không ảnh hưởng tới Grammarly Keyboard, tiện ích add-in Grammarly trong Microsoft Office, hay bất kỳ đoạn văn bản nào nhập trên các website khi sử dụng tiện ích mở rộng Grammarly trên trình duyệt. Lỗi đã được khắc phục và không cần người dùng Grammarly phải thực hiện bất cứ thao tác nào.
Nguyễn Anh Tuấn
Theo The Hacker News
09:00 | 02/07/2019
08:00 | 24/01/2020
11:00 | 04/04/2024
Kết quả điều tra xử lý các sự cố tấn công mã độc tống tiền (ransomware) cho thấy, phương thức, thủ đoạn của nhóm tội phạm hết sức tinh vi, nguy hiểm, kịch bản tấn công có nhiều điểm tương đồng.
08:00 | 04/04/2024
Ngày 20/3, cơ quan quản lý Pháp thông báo phạt Google 250 triệu euro (272 triệu USD) vì vi phạm các cam kết chi trả cho các công ty truyền thông khi sử dụng lại nội dung của các công ty này trên mạng trực tuyến, cũng như sử dụng tư liệu để đào tạo công cụ hội thoại Trí tuệ nhân tạo (AI) mà không có thông báo.
08:00 | 25/03/2024
Theo thông báo chính thức từ website của VNDIRECT, Công ty Cổ phần Chứng khoán nổi tiếng tại Việt Nam xác nhận bị tấn công mạng, gây ngưng trệ hoạt động.
10:00 | 04/03/2024
Apple đang tung ra giao thức bảo mật iMessage mới nhất của mình, PQ3, cùng với các bản cập nhật hệ điều hành tiếp theo cho tất cả các sản phẩm của Apple sử dụng ứng dụng nhắn tin được mã hóa hai đầu.
Hội nghị quốc tế lần thứ 12 Lãnh đạo cấp cao phụ trách an ninh được tổ chức dựa trên sự cần thiết vì nó mở ra cơ hội để trao đổi kinh nghiệm, tìm kiếm những cách tiếp cận mới và các giải pháp tổng hợp chung cho các vấn đề cấp bách về an ninh khu vực và toàn cầu.
09:00 | 28/04/2024
Hướng tới kỷ niệm 80 năm Ngày truyền thống ngành Cơ yếu Việt Nam (12/9/1945 - 12/9/2025), Ban Cơ yếu Chính phủ đã ban hành Kế hoạch phát động Cuộc thi sáng tác nghệ thuật thơ, ca khúc về Ngành Cơ yếu Việt Nam.
10:00 | 16/04/2024
Apple đang đàm phán để sử dụng công cụ Gemini AI của Google trên iPhone, tạo tiền đề cho một thỏa thuận mang tính đột phá trong ngành công nghiệp AI.
11:00 | 26/04/2024