Сегодня 10 сентября 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Миллионы людей открыли сотням веб-приложений полный доступ к своим файлам в Microsoft OneDrive

Миллионы пользователей OneDrive, которые работают с файлами через сторонние веб-приложения, могут неосознанно предоставлять этим приложениям доступ ко всему своему облачному хранилищу. Проблему обнаружили эксперты компании Oasis Security, пишет Dark Reading.

 Источник изображения: appshunter / unsplash.com

Источник изображения: appshunter / unsplash.com

Корни проблемы лежат в разрешениях механизма OAuth OneDrive File Picker, из-за которых сторонним приложениям открывается доступ сразу ко всему содержимому учётной записи OneDrive, а не только к одному файлу. В качестве примеров таких приложений приводятся Slack, Trello и ChatGPT. Чтобы ослабить угрозу, пользователям рекомендуется либо полностью закрыть доступ непроверенным приложениям к OneDrive, либо убедиться, что в облаке не хранится никакой конфиденциальной информации. «В официальной реализации OneDrive File Picker запрашивает доступ ко всему диску, даже при загрузке только одного файла, из-за отсутствия в механизме Oauth специализированных областей видимости для OneDrive. Хотя перед завершением загрузки пользователям предлагается предоставить на это согласие, расплывчатый и неясный язык запроса не даёт пояснения об уровне предоставляемого доступа, что оставляет пользователей открытыми перед неожиданными угрозами безопасности», — рассказали в Oasis.

Из-за этой проблемы любая организация, подключившая сторонние приложения к корпоративному хранилищу OneDrive, подвергается риску раскрытия данных. Уязвимость может использоваться злоумышленниками для кражи, изменения и шифрования данных в OneDrive. Проблема усугубляется тем, что последняя версия OneDrive File Picker требует, чтобы разработчики обрабатывали аутентификацию пользователей с помощью инструмента, который предполагает наличие конфиденциальных данных в хранилище браузера — хакерские атаки в таких условиях представляются особенно опасными. С этими токенами злоумышленники могут получить долгосрочный доступ ко всем файлам в учётной записи OneDrive.

Microsoft OneDrive File Picker — инструмент на основе JavaScript, который разработчики могут использовать для проектирования интерфейса своих веб-приложений, — он позволяет выбирать, загружать, сохранять файлы или делиться данными, хранящимися в OneDrive. Уязвимость касается компонента File Picker Oauth, который используется для аутентификации. Другими словами, приложения, использующие OneDrive File Picker, получают доступ не к отдельным файлам, а ко всему хранилищу сразу, и после завершения загрузки отдельного файла этот доступ может за ними сохраняться. От Microsoft комментариев по этому поводу не последовало.

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
Обновлённый Nvidia RTX Remix добавит частицы с трассировкой пути в старые игры — без существенного падения производительности 5 мин.
Бывший инженер Microsoft рассказал, как баг разогнал игру 3D Pinball до 5000 FPS 13 мин.
Релиз российской службы каталогов ALD Pro 3.0: поддержка крупных инфраструктур, повышенная безопасность и Free-редакция продукта 20 мин.
В Spotify наконец появилась поддержка стриминга музыки FLAC «без потерь» 32 мин.
Meta и TikTok отбились от надзорного сбора в Европе, но уплаченные взносы им не вернут 2 ч.
Nvidia выпустила драйвер с поддержкой Borderlands 4 и Dying Light: The Beast 2 ч.
Облачный провайдер Linx Cloud запустил объектное хранилище S3 2 ч.
У пиратов в России упали доходы — давление на них усилилось, а легальные онлайн-кинотеатры стали привлекательнее 3 ч.
Рейтинг самых продаваемых игр для PlayStation за 30 лет на рынке США наполовину состоит из Call of Duty, но впереди всё равно GTA V 4 ч.
Microsoft уменьшит зависимость от OpenAI, подключив ИИ Anthropic к Office 365 5 ч.