Tiện ích mở rộng Twitch làm rò rỉ token OAuth của gần 31.000 người dùng
"A malicious Twitch browser extension, "Twitch Enhanced Viewer | JeetBot," was found leaking Twitch OAuth session tokens from nearly 31,000 Chrome and Firefox users to operator-controlled proxy infrastructure. The exposed bearer tokens could allow account access to chat, whispers, channel points, and settings; the documented fix is version 85.8.7 or later, which stops sending tokens to proxies, though previously transmitted tokens are not revoked."
Rủi ro rò rỉ token OAuth có thể dẫn tới chiếm quyền phiên Twitch và truy cập trái phép vào dữ liệu/thiết lập tài khoản; các token đã lộ không tự hết hiệu lực.
Có thể gây gián đoạn vận hành kênh, mất quyền kiểm soát tài khoản và phát sinh chi phí hỗ trợ/khắc phục; các đội vận hành cần kiểm tra tiện ích cài đặt và cập nhật chính sách sử dụng.
Một tiện ích mở rộng trình duyệt dành cho Twitch có tên Twitch Enhanced Viewer | JeetBot bị phát hiện đã chuyển OAuth session token của người dùng qua hạ tầng proxy do bên vận hành kiểm soát. Theo báo cáo, ảnh hưởng có thể lên tới gần 31.000 người dùng trên Chrome và Firefox.
Token bị lộ là bearer credential, nên nếu bị nắm giữ có thể cho phép truy cập vào chat, whispers, channel points và cài đặt tài khoản mà không cần mật khẩu hay xác thực bổ sung. Do token được đưa vào chuỗi truy vấn &auth=, nó cũng có thể xuất hiện trong log của proxy ở dạng rõ.
Nhà phát triển đã công bố version 85.8.7 cho Firefox để ngừng gửi token tới proxy; bản Chrome tương ứng đang được xem xét. Tuy nhiên, các token đã truyền trước đó không bị thu hồi tự động.
Khuyến nghị: kiểm tra phiên bản tiện ích, cập nhật lên 85.8.7 trở lên hoặc tạm vô hiệu hóa tiện ích nếu chưa có bản vá. Đồng thời, quản trị viên và người dùng nên rà soát hoạt động đăng nhập bất thường và thay đổi thông tin bảo mật nếu cần.