微软的OneDrive文件选择器存在安全漏洞，使数百万用户面临潜在数据被滥用的风险。 根据Oasis Security的新发现，问题出在文件选择器请求OAuth权限的方式，允许应用获取用户整个OneDrive的广泛访问权限，而不仅仅是上传或下载时选定的文件。Black Duck的首席安全顾问Vijay Dilwale表示：“这是过度授权的OAuth范围加上误导性同意流程的典型案例。”

Oasis Security的报告指出，数百个广泛使用的网络应用程序，包括ChatGPT、Slack、Trello和ClickUp，均整合了OneDrive文件选择器以简化文件上传。然而，这些集成请求的访问权限范围过于广泛，涵盖用户整个云存储。

“Oasis Security最近的研究突显了一个重大的隐私和安全问题，” Salt Security网络安全战略总监Eric Schwake表示。“这个问题使得这些应用能够获得用户整个OneDrive内容的完全读权限，而不仅仅是选定文件的权限，因为OAuth范围定义不够详细。”

例如，文件选择器的7.0版本在上传过程中即需用户授权读写访问权限。同时，旧版本的选择器（6.0至7.2）在处理敏感OAuth令牌方面也存在安全隐患，包括使用URL片段和本地存储。尽管7.0版本给开发者提供了更多控制权，通过外部化身份验证来提升安全性，但授权范围依然过于宽泛。

“微软的OneDrive文件选择器鼓励第三方网络应用请求广泛的文件访问权限，” Sectigo的高级研究员Jason Soroko说道。“同意对话框并未清楚表达单击授予集成商访问用户OneDrive中每个文件和文件夹的权限。”

这种范围漏洞不仅仅是理论上的风险。在实际应用中，求职者通过如Phenome等招聘平台上传简历时，若简历是从企业的OneDrive存储中提取的，则可能无意中暴露机密的雇主文件。

“用户应当假设，任何他们授权的SaaS插件都有钥匙访问他们的个人或企业重要资料，除非有证据相反，” Soroko警告道。“安全团队应当实施‘管理员同意’或条件访问策略，阻止请求超出files.read权限的应用。”

Oasis Security确认存在多个问题：文件选择器的权限允许访问用户OneDrive中的所有文件，访问令牌可能在一个小时或更长时间内保持有效，并且在使用刷新令牌时可能具有持续访问权限，令牌曾在浏览器内存中不安全地存储，同意对话框并未准确传达访问的范围。

Dilwale表示：“这是一个很好的机会去重新审视云存储集成的使用方式。首先进行配置回顾，查看哪些应用程序拥有OneDrive的访问权限以及他们被授予了什么范围。”

相较于微软的做法，竞争对手已经实施了更安全的默认设置。Google Drive使用细粒度的范围，如drive.file，限制对应用创建或用户选择文件的访问。 而Dropbox则使用自定义选择器，完全避免使用OAuth，只检索明确选择的文件。

据报道，微软已经承认了这一报告，但尚未宣布具体的应对措施。Oasis Security建议开发者避免使用刷新令牌，限制范围请求，并复审现有集成。对于用户而言，微软的隐私设置可以显示哪些应用当前可以访问其OneDrive账户。

通过这一安全漏洞的曝光，用户必须更加谨慎地处理与云服务的集成，并时刻关注应用所请求的权限范围，以确保自己的数据安全不被侵犯。同时，也提示了开发者在设计应用时应当更严格地控制权限的授权，以减少风险并保护用户的隐私。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课