Im Browser Chrome wurde ein Problem beim Übermitteln vertraulicher Daten an die Google-Server festgestellt, wenn der erweiterte Rechtschreibprüfungsmodus aktiviert ist, der eine Prüfung mit einem externen Dienstleister vorsieht. Das Problem tritt auch im Edge-Browser auf, wenn die Microsoft Editor-Erweiterung verwendet wird.
Es stellte sich heraus, dass der zu prüfende Text auch aus Eingabeformularen übermittelt wird, die vertrauliche Daten enthalten, einschließlich Felder mit Benutzernamen, Adressen, E-Mail, Ausweisdaten und sogar Passwörtern, falls die Eingabefelder für Passwörter nicht durch das Standard-Tag „“ eingeschränkt sind. Zum Beispiel führt das Problem dazu, dass auf Server www.googleapis.com Passwörter übermittelt werden, wenn die Option zum Anzeigen des eingegebenen Passworts aktiviert ist, die in den Google Cloud-Diensten (Secret Manager), AWS (Secrets Manager), Facebook, Office 365, Alibaba Cloud und LastPass implementiert ist. Von 30 getesteten bekannten Websites, einschließlich sozialer Netzwerke, Banken, Cloud-Plattformen und Online-Shops, waren 29 von der Leckage betroffen.
In AWS und LastPass wurde das Problem bereits schnell behoben, indem der Parameter „spellcheck=false“ im Tag „input“ hinzugefügt wurde. Um die Übermittlung von Daten auf der Benutzerebene zu blockieren, sollten in den Einstellungen die erweiterten Prüfungen deaktiviert werden (Abschnitt „Sprachen/Rechtschreibprüfung/Erweiterte Rechtschreibung“ oder „Languages/Spell check/Enhanced spell check“, die erweiterte Rechtschreibung ist standardmäßig deaktiviert).
Quelle: opennet.ru
