安装量达 3 万的 Twitch 扩展泄露用户 OAuth 令牌

一款名为 Twitch Enhanced Viewer | JeetBot 的浏览器扩展在 Chrome 和 Firefox 官方商店上架，会将用户的 Twitch OAuth 会话令牌发送至一个商业机器人服务。

该扩展的安装量超过 3 万，被宣传为一款合法的 Twitch 第三方工具，可以屏蔽广告、强制 1080p（全高清）播放、绕过区域限制并启用频道积分收集。

然而，应用安全公司 Socket 的分析显示，该扩展会捕获 Twitch Web 客户端使用的授权标头，提取用户 OAuth 令牌，并通过代理服务器发送这些凭据。

这些服务器由 JeetBot 运营，这是一项商业俄语流媒体和聊天机器人服务，为 Twitch、Kick 和 VK Live 提供工具。

在该扩展的当前版本中，令牌被直接作为 auth= URL 参数附加到重定向的代理请求中，最终进入代理服务器的请求日志，软件供应商可以轻松从中获取。

"当该扩展通过该代理重定向 Twitch 的视频播放列表请求（发往 usher.ttvnw[.]net）时，它会将令牌作为 &auth= 查询参数附加，"Socket 表示。

"由于令牌被放在 URL 查询字符串中，它会以明文形式写入代理服务器的请求日志。"

这一过程对用户观看的每一个 Twitch 频道都会发生，除了硬编码在该扩展代码中的一组十个俄语频道。

Socket 强调，该扩展的早期版本包含更明确的凭据窃取机制。

在 Firefox 附加组件商店的产品描述中，开发者针对先前使用的机制提供了一份免责声明，称：

"该扩展的先前版本会将您的 OAuth-twitch 令牌传输到我们的服务器。这是为了使流能够以 1080/1440p 运行。"[机器翻译]

Twitch Enhanced Viewer | JeetBot 的 Chrome 版本的数据隐私披露称，其开发者"披露其不会收集或使用您的数据"。

该声明涵盖：除经批准的情况外，向第三方出售用户数据、出于产品"核心功能"之外的原因传输数据，或"为确定信用状况或用于放贷目的"而传输数据。

截至发稿时，该扩展仍存在于 Chrome 网上应用店和 Firefox 附加组件商店中。

BleepingComputer 已通过 Chrome 网上应用店中注明的电子邮件地址向 JeetBot 发送了索取更多信息的请求，但截至发稿时未收到回复。

Socket 研究人员认为该扩展构成安全风险，并建议用户将其从浏览器中移除，断开 Twitch 中的所有会话，然后重新进行身份验证，以使任何可能已被转发的令牌失效。

开发者被建议避免将带有授权标头或令牌的请求经由第三方服务器路由。