Otkriven propust u OneDriveu: Vaši fajlovi možda su dijeljeni s ChatGPT-om, Slackom i drugim aplikacijama

Sigurnosni stručnjaci iz kompanije Oasis Security upozoravaju da bi propust u funkciji dijeljenja fajlova u Microsoftovom OneDriveu mogao rezultirati time da aplikacije poput ChatGPT-a, Slacka, Trella, Zooma i mnogih drugih dobiju pristup čitavom vašem oblaku, a ne samo jednom dijeljenom fajlu.

Naime, problem leži u nejasnoj formulaciji dozvola unutar OneDriveovog File Picker alata. Kada korisnik pokušava dijeliti pojedinačan dokument, stvarni zahtjev aplikacije — zbog načina na koji funkcionišu OneDriveovi OAuth tokeni — traži pristup čitavom disku. Korisnik pritom vidi samo neodređeni opis kao što je:

“ChatGPT će moći otvoriti OneDrive fajlove, uključujući one koje ste vi podijelili.”

Ovo mnoge navodi da pomisle kako se pristup odnosi isključivo na određene fajlove, iako aplikacija zapravo dobiva puni pristup cijelom OneDrive nalogu.

“Zbog nedostatka preciznijih opcija kod dozvola (OAuth scope-ova), implementacija File Pickera traži pristup cijelom disku — čak i kada korisnik dijeli samo jedan fajl”, navodi se iz Oasis Securityja.

Propust je prije javnog objavljivanja prijavljen Microsoftu i povezanim aplikacijama, ali iz Microsofta tvrde da ovaj slučaj ne zahtijeva hitnu reakciju, jer korisnik prije dijeljenja mora dati svoju saglasnost.

“Ova tehnika ne zadovoljava naš kriterij za hitno ispravljanje jer korisnik mora sam dati pristanak aplikaciji”, izjavio je Microsoft za PCMag, dodajući da će “moguća poboljšanja biti razmotrena u budućem izdanju”.

Kako provjeriti i opozvati pristup aplikacijama

Ako ste ranije povezali OneDrive s aplikacijama poput ChatGPT-a ili Slacka, moguće je da te aplikacije i dalje imaju pristup vašim dokumentima.

Da biste provjerili i opozvali dozvole:

1. Idite na svoj Microsoft nalog.

2. Kliknite na Privacy (Privatnost).

3. U lijevom meniju odaberite App Access (Pristup aplikacija).

4. Pogledajte koje aplikacije imaju pristup vašem nalogu.

5. Ako želite ukloniti neku aplikaciju, kliknite Stop Sharing (Prestani dijeliti).
   Napomena: promjene mogu stupiti na snagu tek nakon sat vremena.

Preporučuje se redovna provjera postavki privatnosti i opoziv pristupa aplikacijama koje više ne koristite ili kojima ne vjerujete u potpunosti.