Populaire browserextensie voor spellingcontrole dicht lek dat gegevens prijsgaf

De populaire browserextensie Grammarly heeft een lek gedicht dat websites in staat stelde gegevens zoals documenten en logbestanden uit te lezen. De extensie controleert grammatica en spelling. Het lek is gevonden door Google-onderzoeker Tavis Ormandy.

In zijn rapport, dat nu openbaar is, schrijft Ormandy dat Grammarly ongeveer 22 miljoen gebruikers heeft. Hij ontdekte dat de plug-in authenticatietokens blootstelde aan alle websites, waardoor een kwaadwillende als een bepaalde gebruiker kon inloggen bij de dienst. Als die gebruiker bijvoorbeeld bestanden had opgeslagen in de online editor van Grammarly, dan had de aanvaller hiertoe toegang. Ormandy noemt ook toegang tot de geschiedenis en logbestanden.

De Google onderzoeker merkt verder op dat het Grammarly-team zijn melding binnen enkele uren heeft opgepakt en met een oplossing voor de Chrome-versie van de extensie kwam. Kort daarna kwam er ook een update voor de Firefox-variant. Ormandy noemt dit een 'indrukwekkende responstijd'. Grammarly laat aan The Register weten niet op de hoogte te zijn van misbruik van de kwetsbaarheid en dat gebruikers geen actie hoeven te ondernemen.

Ormandy vindt vaker kwetsbaarheden in software van derden. Recentelijk richtte hij zich op zogenaamde dns rebinding-aanvallen, die hij vond in bittorrentclient Transmission en de Blizzard-updater.

Reacties (9)

[Jack Flushell]

Netjes dat het zo snel is opgepakt! Natuurlijk speelt daarbij een rol dat het probleem kennelijk eenvoudig op te lossen was, maar desniettemin wel snelle reactie, alert hoor!

[Oerdond3r]

Het is ontzettend jammer dat we meer van dit soort mensen nodig hebben, maar we hebben meer van dit soort mensen nodig.

[Noxious]

Tavis Ormandy is lekker bezig de laatste tijd - hij vind in razend tempo de ene na de andere issue in verschillende producten.

[wcduck]

Off-topic vraag, maar weet iemand een dergelijke extensie voor de Nederlandse taal? De spellings- en grammaticacontrole van Word laat met name steken liggen bij lidwoorden en de juiste vervoegingen van bijvoeglijke naamwoorden.

[Euronitwit]

De spellings- en grammaticacontrole van Word regelt niet de spellingscontrole van onder andere dit vak, waarin ik op jou reageer.
Dat heeft de Nederlandse versie van FireFox zelf ingebouwd.
Voor de Engelse taal moest ik een plug-in installeren.

[wcduck]

Ik bedoelde meer in algemene zin: is er spellings- en grammaticacontrole die de juiste lidwoorden en vervoegingen van bijvoeglijke naamwoorden aangeeft. Grammarly lijkt immers een behoorlijk capabele spellingscontrole. Het zou fijn zijn als er ook zoiets bestond in het Nederlands.

[Ge Someone]

Ik denk dat je bedoeld een extra woordenboek (dictionary). De functionaliteit zit al in de browswer. Toegegeven, het toevoegen van extra woordenboeken gaat vrijwel net zo als een extensie installeren.

[Euronitwit]

Als ik in FF een extra woordenboek wil installeren, dan moet ik die toch eerst via extra add-ons zoeken.
Later is die dan in een apart lijstje zichtbaar onder de link Add-ons.

Dan noem ik het een add-on (-dictionary)

[Honytawk]

De officiële proofingtools van Microsoft voor Word?