Một lỗ hổng bảo mật nghiêm trọng đã được phát hiện trong OneDrive, dịch vụ lưu trữ đám mây nổi tiếng của Microsoft. Các nhà nghiên cứu cảnh báo rằng tính năng "File Picker" có thể gặp rủi ro lớn, cho phép các ứng dụng và dịch vụ bên ngoài truy cập toàn bộ dữ liệu của người dùng trên OneDrive. Điều này xảy ra ngay cả khi người dùng chỉ muốn chia sẻ một tệp đơn lẻ. Việc này đặt ra câu hỏi lớn về an ninh và quyền riêng tư đối với hàng triệu người sử dụng dịch vụ này.
Công ty bảo mật Oasis Security đã phát đi cảnh báo nghiêm trọng về những thiếu sót trong chính sách bảo mật của Microsoft liên quan đến OneDrive. Theo phân tích của họ, công cụ File Picker – được thiết kế để hỗ trợ người dùng và doanh nghiệp tải tệp từ OneDrive lên những dịch vụ khác như ChatGPT, Slack, Trello và ClickUp – lại có một điểm yếu đáng chú ý. Cụ thể, nó không hạn chế quyền truy cập chỉ đối với tệp được chọn, mà lại vô tình cấp quyền truy cập đọc cho toàn bộ không gian lưu trữ. Sự bất cẩn này có thể tạo ra nhiều rủi ro cho thông tin nhạy cảm của người dùng.
Đã có thông tin cho thấy hàng triệu người dùng cá nhân và doanh nghiệp có thể đã không nhận thức được rằng nhiều ứng dụng đã được cấp quyền truy cập vào tất cả các tệp tin trên OneDrive. Hệ quả của điều này tiềm ẩn nhiều rủi ro nghiêm trọng, bao gồm khả năng rò rỉ dữ liệu nhạy cảm và vi phạm quyền riêng tư. Ngoài ra, các tổ chức cũng có thể đối mặt với nguy cơ không tuân thủ các quy định bảo vệ dữ liệu.
Oasis Security đã lên tiếng chỉ trích Microsoft về việc sử dụng ngôn ngữ không rõ ràng và gây nhầm lẫn trong các thông báo yêu cầu quyền truy cập. Điều này khiến người dùng gặp khó khăn trong việc nhận biết phạm vi quyền mà họ đang cấp. Họ không thể phân biệt giữa những yêu cầu hợp pháp và các nỗ lực đánh cắp dữ liệu tinh vi. Ngoài ra, việc lưu trữ không an toàn các mã token bí mật cấp quyền truy cập đã làm gia tăng nguy cơ rủi ro cho người dùng.
Các chuyên gia từ Oasis đã chỉ ra rằng việc thiếu các phạm vi phân quyền chi tiết (OAuth scopes) kết hợp với thông báo không rõ ràng từ Microsoft tạo nên một tình huống tiềm ẩn rủi ro cho người dùng. Họ khuyến nghị mọi người và quản trị viên doanh nghiệp cần nhanh chóng rà soát lại các quyền truy cập mà bên thứ ba đã được cấp cho OneDrive. Oasis cũng đã thông báo về lỗ hổng này tới Microsoft cùng với các nhà cung cấp liên quan. Hiện tại, Microsoft đang xem xét những cải tiến cho dịch vụ. Tuy nhiên, người dùng vẫn cần duy trì sự thận trọng tối đa trong thời điểm này.
