Ett webbläsartillägg med fler än 30 000 installationer har exponerat användares Twitch OAuth-token för en kommersiell bottjänst. Tillägget fanns fortfarande tillgängligt via de officiella butikerna för Chrome och Firefox vid tidpunkten för rapporteringen.
Säkerhetsforskare upptäckte att Twitch Enhanced Viewer | JeetBot extraherar autentiseringsdata från Twitch-förfrågningar. Därefter skickar det inloggningsuppgifterna via proxyservrar från tredje part.
Twitch-tillägg samlar in OAuth-token
Twitch Enhanced Viewer | JeetBot presenterar sig som ett verktyg för att förbättra streamingplattformen. Dess marknadsförda funktioner inkluderar blockering av annonser och framtvingad videouppspelning i hög upplösning.
Tillägget hävdar också att det kan kringgå regionala begränsningar och automatiskt samla in kanalpoäng. Användare kan ladda ner det via Chrome Web Store och Firefox Add-ons.
Forskare på applikationssäkerhetsföretaget Socket upptäckte dock oroande beteende i tillägget. Det fångar upp authorization-headern som används av Twitchs webbklient och extraherar användarens OAuth-token.
Programvaran skickar sedan Twitch OAuth-token via proxyservrar. JeetBot, en kommersiell ryskspråkig streaming- och chatbot-tjänst, driver dessa servrar.
Företaget erbjuder verktyg för Twitch, Kick och VK Live.
Token visas i proxyloggar
Nuvarande versioner av tillägget omdirigerar förfrågningar om Twitch-videospellistor via JeetBots proxyinfrastruktur. Under processen lägger programvaran till token i den omdirigerade URL:en som en autentiseringsparameter.
Som ett resultat visas inloggningsuppgifterna i klartext i proxyserverns förfrågningsloggar. Tjänsteoperatören kan sedan hämta dem utan att behöva tillgång till användarens webbläsare.
Denna process sker varje gång en berörd användare tittar på en Twitch-kanal. Tillägget undantar dock tio ryskspråkiga kanaler som listas direkt i dess kod.
Att placera känsliga inloggningsuppgifter i en URL skapar flera säkerhetsrisker. Servrar, övervakningsverktyg och andra system registrerar ofta fullständiga URL:er i sina loggar.
Därför kan alla som har tillgång till dessa loggar också få tillgång till token.
Tidigare versioner använde tydligare insamlingsmetoder
Socket rapporterade att tidigare versioner av tillägget använde mer direkta mekanismer för att samla in Twitch OAuth-token.
Utvecklaren bekräftade den tidigare metoden i en beskrivning som publicerades via Firefox Add-ons. Enligt en maskinöversättning uppgav utvecklaren att tillägget överförde OAuth-token till sin server.
Meddelandet hävdade att det var nödvändigt att skicka token för att stödja strömmar i upplösningarna 1080p och 1440p.
Chrome Web Stores integritetsinformation gav dock ett annat besked. Där stod det att utvecklaren inte skulle samla in eller använda kunddata.
Deklarationen omfattade även försäljning av information till tredje part och överföring av den utanför tilläggets kärnfunktionalitet.
Denna uppenbara motsägelse väcker ytterligare frågor om huruvida användarna fick korrekt information om hur programvaran hanterade deras inloggningsuppgifter.
Exponerade token skapar kontorisker
OAuth-token gör det möjligt för applikationer att få tillgång till användarkonton utan att upprepade gånger begära ett lösenord. Deras exakta funktioner beror på vilka behörigheter som beviljades under autentiseringen.
Om någon stjäl ett giltigt token kan personen använda det för att interagera med det tillhörande kontot. I vissa fall kan angriparen behålla åtkomsten tills token löper ut eller tjänsten ogiltigförklarar det.
Att ändra ett kontolösenord avslutar inte alltid alla aktiva sessioner omedelbart. Därför bör berörda användare återkalla befintliga sessioner och autentisera sig på nytt.
Incidenten visar också riskerna med att dirigera autentiserad trafik genom system från tredje part. Även om en tjänst inte aktivt stjäl inloggningsuppgifter kan osäker loggning fortfarande exponera dem.
Utvecklare bör ta bort authorization-headers och token innan förfrågningar omdirigeras till extern infrastruktur. De bör också undvika att inkludera hemligheter i URL-parametrar.
Tillägget finns kvar i officiella butiker
Vid tidpunkten för publiceringen fanns Twitch Enhanced Viewer | JeetBot fortfarande tillgängligt via båda de officiella butikerna för webbläsartillägg.
Dess närvaro på dessa marknadsplatser kan ha fått användare att lita på programvaran. Officiell distribution garanterar dock inte att ett tillägg hanterar känslig information på ett säkert sätt.
Utgivaren hade inte svarat på frågor om resultaten när rapporten publicerades.
Socket betraktar tillägget som en säkerhetsrisk. Därför rekommenderar dess forskare att det tas bort från alla berörda webbläsare.
Användare bör därefter koppla från alla aktiva Twitch-sessioner innan de loggar in igen. Denna åtgärd bör ogiltigförklara alla OAuth-token som tillägget kan ha överfört.
Berörda användare bör också granska anslutna applikationer och ta bort tjänster som de inte längre känner igen eller använder.
0 svar till ”Twitch-tillägg exponerar OAuth-token från 30 000 användare”