พบแอป Grok Build 35,578 รายการเปิดดูได้โดยไม่ต้องล็อกอิน

แอป Grok Build จำนวน 35,578 รายการเปิดดูได้โดยไม่ต้องล็อกอิน ณ เวลาที่ตรวจสอบ คิดเป็น 94.7% ของแอป 37,571 รายการที่ออนไลน์และเข้าถึงได้ แต่ตัวเลขนี้ไม่ได้หมายความว่าแอปทั้งหมดมีข้อมูลอ่อนไหวหรือมีผู้เสียหายเกิดขึ้นแล้ว

Claroc เปิดเผยในรายงานการตรวจสอบที่เผยแพร่เมื่อวันที่ 10 ว่าได้ตรวจสอบที่อยู่แอปบนโดเมนย่อย grok.me จำนวน 43,551 รายการ โดยพิจารณาการล็อกอินจากแอปที่ออนไลน์ในขณะตรวจสอบ

Grok Build เป็นเครื่องมือที่ให้ผู้ใช้สร้างและเผยแพร่แอป เกม หรือเว็บไซต์ผ่านการสนทนา SpaceXSI ระบุในประกาศผลิตภัณฑ์เมื่อวันที่ 19 สิงหาคมว่าเปิดให้ใช้ฟีเจอร์นี้ในทุกแพ็กเกจบนเว็บและมือถือ

แอปที่เผยแพร่แต่ละรายการจะมีที่อยู่ grok.me เฉพาะ ผู้สร้างเลือกขอบเขตการเข้าถึงได้สามแบบ ได้แก่ เฉพาะฉัน ทุกคนที่มีลิงก์ และสาธารณะ

Claroc ระบุว่าผู้ที่ไม่ได้รับลิงก์โดยตรงก็อาจค้นพบที่อยู่แอปได้ บันทึกการค้นหา DNS ที่เกิดขึ้นเมื่อเปิดแอปอาจถูกเก็บไว้ในบริการ Passive DNS และค้นหาเพื่อระบุที่อยู่แอปได้

Claroc ระบุว่าแอปสาธารณะส่วนใหญ่ที่ยังออนไลน์เป็นเกม หน้าแนะนำตัว และเครื่องคิดเลข และแอปที่ตรวจสอบไม่ได้มีข้อมูลอ่อนไหวทั้งหมด อย่างไรก็ตาม รายงานพบรายชื่อเจ้าหน้าที่โรงพยาบาลและข้อมูลผู้ป่วยวิกฤตในแอปบางรายการ รวมทั้งรหัสผ่านบัญชีพนักงานที่ไม่ได้เข้ารหัสอยู่ในโค้ดของแอปตารางเวรหนึ่งรายการ

รายงานระบุว่า Claroc สามารถระบุองค์กรที่เกี่ยวข้องกับแอปสาธารณะซึ่งมีข้อมูลภายในได้ 30 แห่ง นอกเหนือจาก SpaceXSI และ X ในจำนวนนี้ 26 แห่งมีพนักงานอย่างน้อย 1,000 คน และ 6 แห่งอยู่ใน Fortune 500

การตรวจสอบยังครอบคลุมแอป 24 รายการที่พนักงาน SpaceXSI และ X สร้างขึ้น Claroc ระบุว่าพบแผนปฐมนิเทศพนักงานใหม่ที่ระบุว่าเป็นความลับ แผนที่เขตการขายของ 594 บัญชี และเอกสารนำเสนอโฆษณา

Claroc แจ้งปัญหาให้ SpaceXSI ทราบเมื่อวันที่ 8 พฤศจิกายน และส่งข้อมูลแอปของพนักงานที่ตรวจพบเพิ่มเติมในวันถัดมา รายงานระบุว่า SpaceXSI นำแอปที่พนักงานสร้างทั้ง 24 รายการออกแล้ว

Claroc ใช้แอปทดสอบของตนเองสองรายการตรวจสอบการตั้งค่าการเผยแพร่และการยืนยันตัวตน โดยระบุว่าในแอปทดสอบสำหรับทีม บัญชี Google ที่ไม่ได้รับเชิญสามารถอ่าน แก้ไข และลบข้อมูลของแอปนั้นได้

การทดสอบแก้ไขข้อมูลทำเฉพาะในแอปที่ Claroc สร้างขึ้น บริษัทระบุว่าไม่ได้แก้ไขข้อมูลในแอปของผู้ใช้อื่นหรือเรียกใช้ฟังก์ชันบนเซิร์ฟเวอร์

คำอธิบายเรื่องค่าเริ่มต้นของการเผยแพร่จาก Claroc และ SpaceXSI แตกต่างกัน Claroc ระบุว่าบัญชีทดสอบแบบชำระเงินของตนตั้งค่าเป็นทุกคนที่มีลิงก์ ส่วน SpaceXSI ตอบว่าแอปจะเป็นส่วนตัวจนกว่าผู้สร้างจะเลือกแชร์ และบัญชีพนักงานตั้งค่าเริ่มต้นเป็นเฉพาะฉัน

ประกาศผลิตภัณฑ์อย่างเป็นทางการของ SpaceXSI ไม่ได้ระบุค่าเริ่มต้นสำหรับบัญชีผู้ใช้ทั่วไป จึงควรแยกกรณีบัญชีทดสอบแบบชำระเงินของ Claroc ออกจากค่าเริ่มต้นของบัญชีพนักงานตามที่ SpaceXSI อธิบาย

Claroc เสนอให้ตั้งค่าเริ่มต้นเป็นส่วนตัว กำหนดสิทธิ์เข้าถึงด้วยโดเมนอีเมลขององค์กร ใช้เส้นทางภายใต้โฮสต์เดียว และแสดงคำเตือนก่อนเผยแพร่แอปที่ไม่มีฐานข้อมูลหรือระบบล็อกอิน รายงานระบุว่า ณ เวลาที่เผยแพร่ Claroc แจ้งองค์กรที่เกี่ยวข้อง 3 แห่งทางอีเมลแล้ว