详细内容或原文请订阅后点击阅览

OneDrive文件选择器缺陷将云存储暴露于过度授权风险

2025年5月29日 18:30 33 Comments
X Twitter Instagram Mail

OASIS安全性的新报告揭示了Microsoft的OneDrive File Picker中的一个关键安全漏洞，使用户了解重要的数据隐私和访问控制风险。该问题源于过度收到的OAUTH范围，即使仅打算上传一个文件，这些范围即使仅用于上传，也可以广泛访问用户的整个OneDrive。

来源:SecureWorld News _云安全
OASIS安全性的新报告揭示了Microsoft的OneDrive File Picker中的一个关键安全漏洞，使用户了解重要的数据隐私和访问控制风险。 The issue stems from over-permissioned OAuth scopes, which give third-party applications broad access to a user's entire OneDrive, even when only a single file is intended for upload.This vulnerability affects a wide range of commonly used apps, including Slack, ChatGPT, Trello, and ClickUp, and highlights broader concerns in API security, token handling, and user consent design.Misleading consent and broad OAuth访问问题的核心是一种欺骗性的用户体验。虽然用户认为他们正在授予对单个文件的访问权限，但文件拾取器集成通常使应用程序可以读取甚至修改用户的整个OneDrive内容。 “这种设计为个人和组织都创造了不必要的曝光率，尤其是在涉及第三方应用程序时。”一旦授予这些权限，访问令牌至少保持活跃至少一个小时，并且可以刷新以进行长时间的会话。这不仅为共享的文件创建风险窗口，还为存储在用户驱动器中的所有内容。Insecure代币存储和API Access Inscepbebeyond权限，该报告还突出显示了不安全的令牌存储实践。 OneDrive File Picker的较旧版本（6.0至7.2）在浏览器localStorage中存储了访问令牌，或通过URL片段将其暴露。即使是最新版本（8.0）在SessionStorage中以纯文本存储令牌，从而创造了潜在的利用向量。“这是一个主要的API安全挑战，” Salt Security在Salt Security的网络安全策略总监Eric Sc​​hwake说。 “由于同意语言含糊不清，因此在没有清晰的用户意识的情况下允许广泛的访问。在诸如chatgpt这样的代理AI系统中，依靠API
重要的 OAuth 访问 风险 存储 API 时间的 单个文件 访问控制 创造 第三方 广泛的 权限 OneDrive 报告 File 必要的 用户 网络安全 安全的 不安全的 清晰的 令牌 应用程序 授予 组织 Picker 驱动器 主要的 潜在的 数据 安全性