35.578 ứng dụng Grok Build truy cập được khi chưa đăng nhập

35.578 ứng dụng Grok Build có thể được truy cập mà không cần đăng nhập tại thời điểm khảo sát. Con số này chiếm 94,7% trong số 37.571 ứng dụng có thể truy cập, nhưng không đồng nghĩa từng ấy ứng dụng chứa thông tin nhạy cảm hoặc đã gây thiệt hại thực tế.

Trong báo cáo công bố ngày 10, công ty bảo mật Claroc cho biết đã khảo sát 43.551 địa chỉ ứng dụng trên tên miền phụ grok.me. Việc kiểm tra yêu cầu đăng nhập được thực hiện trên các ứng dụng đang trực tuyến tại thời điểm khảo sát.

Grok Build là công cụ cho phép người dùng tạo ứng dụng, trò chơi và trang web qua hội thoại rồi đăng tải chúng. Ngày 19 tháng 8, SpaceXSI cho biết trong thông báo sản phẩm rằng tính năng này được cung cấp trên web và thiết bị di động cho mọi gói dịch vụ.

Mỗi ứng dụng được đăng tải có một địa chỉ grok.me riêng. Người tạo có thể chọn phạm vi truy cập gồm “chỉ mình tôi”, “bất kỳ ai có liên kết” hoặc “công khai”.

Claroc chỉ ra rằng ngay cả người chưa được gửi liên kết trực tiếp vẫn có thể tìm thấy địa chỉ ứng dụng. Theo công ty, các truy vấn DNS phát sinh khi mở ứng dụng có thể được lưu trong dịch vụ Passive DNS; tìm kiếm những bản ghi này có thể giúp phát hiện địa chỉ ứng dụng.

Claroc cho biết phần lớn ứng dụng công khai đang trực tuyến mà họ khảo sát là trò chơi, trang giới thiệu và máy tính; không phải ứng dụng nào cũng chứa thông tin nhạy cảm. Tuy nhiên, công ty phát hiện danh sách nhân viên bệnh viện và thông tin bệnh nhân hồi sức tích cực trong một số ứng dụng. Mã nguồn của một ứng dụng lập lịch làm việc cũng có mật khẩu tài khoản nhân viên chưa được mã hóa.

Báo cáo cho biết Claroc xác định được 30 tổ chức có ứng dụng công khai chứa tài liệu nội bộ, ngoài SpaceXSI và X. Trong số đó, 26 tổ chức có hơn 1.000 nhân viên và 6 tổ chức thuộc Fortune 500.

Khảo sát cũng gồm 24 ứng dụng do nhân viên SpaceXSI và X tạo ra. Claroc cho biết đã phát hiện trong số này một kế hoạch tiếp nhận nhân viên mới có đánh dấu mật, bản đồ khu vực bán hàng gắn với 594 tài khoản và các đề xuất quảng cáo.

Ngày 8 tháng 11, Claroc thông báo vấn đề cho SpaceXSI. Ngày hôm sau, công ty gửi thêm những ứng dụng của nhân viên mà họ vừa phát hiện. Báo cáo cho biết SpaceXSI đã gỡ 24 ứng dụng do nhân viên tạo.

Claroc dùng hai ứng dụng thử nghiệm do chính mình tạo để kiểm tra cài đặt đăng tải và cơ chế xác thực. Công ty cho biết trong ứng dụng thử nghiệm dành cho nhóm, một tài khoản Google không được mời vẫn có thể đọc, chỉnh sửa và xóa dữ liệu của chính tài khoản đó.

Claroc nói các thử nghiệm thay đổi dữ liệu chỉ được thực hiện trên ứng dụng do công ty tạo. Họ không chỉnh sửa dữ liệu trong ứng dụng của người dùng khác hoặc gọi các hàm máy chủ.

Claroc và SpaceXSI đưa ra thông tin khác nhau về lựa chọn mặc định khi đăng tải. Claroc cho biết tài khoản trả phí dùng để thử nghiệm có sẵn tùy chọn “bất kỳ ai có liên kết”. SpaceXSI trả lời rằng ứng dụng vẫn ở chế độ riêng tư cho đến khi người tạo chọn chia sẻ, đồng thời cho biết lựa chọn mặc định trên tài khoản nhân viên là “chỉ mình tôi”.

Thông tin sản phẩm chính thức của SpaceXSI không nêu riêng lựa chọn mặc định trên tài khoản người dùng phổ thông. Vì vậy, cần phân biệt trường hợp tài khoản trả phí do Claroc thử nghiệm với thiết lập mặc định trên tài khoản nhân viên mà SpaceXSI mô tả.

Claroc đề xuất △ đặt chế độ riêng tư làm mặc định △ thiết lập quyền truy cập dựa trên tên miền email của tổ chức △ dùng đường dẫn dưới cùng một máy chủ △ hiển thị cảnh báo trước khi đăng tải ứng dụng không có cơ sở dữ liệu và chức năng đăng nhập. Công ty cho biết đã gửi email thông báo cho ba tổ chức liên quan tính đến thời điểm công bố báo cáo.