Der technische Kern des Problems liegt in der Art, wie die Erweiterung Anfragen umleitet. Nach der Analyse von Socket hängt sie das OAuth-Token unmittelbar an die umgeleiteten Proxy-Anfragen an — als URL-Parameter „auth=".
„Wenn die Erweiterung die Anfrage nach der Videoplaylist von Twitch (an usher.ttvnw[.]net) über diesen Proxy umleitet, hängt sie das Token als Abfrageparameter &auth= an", schreibt Socket. „Da das Token im Abfrageteil der URL steht, wird es im Klartext in die Anfrageprotokolle des Proxy-Servers geschrieben."
Dieser Vorgang wiederholt sich bei jedem Twitch-Kanal, den der Nutzer ansieht. Ausgenommen sind lediglich zehn russischsprachige Kanäle, die im Code der Erweiterung fest hinterlegt sind.
Frühere Versionen enthielten laut Socket noch deutlichere Mechanismen zum Abgreifen von Zugangsdaten. In der Produktbeschreibung im Firefox-Add-ons-Store weist der Entwickler auf das zuvor eingesetzte Verfahren sogar selbst hin: „Frühere Versionen der Erweiterung übertragen Ihr OAuth-Twitch-Token an unseren Server. Das ist notwendig, damit der Stream in 1080/1440p läuft."
Dazu passt die Datenschutzangabe der Chrome-Variante nur schwer: Dort heißt es, der Entwickler habe erklärt, dass er „keine Daten erheben oder verwenden" werde. Die Erklärung deckt den Verkauf von Nutzerdaten an Dritte außerhalb genehmigter Fälle ab, ebenso die Weitergabe zu Zwecken außerhalb der „Kernfunktionalität" des Produkts sowie zur Bewertung der Kreditwürdigkeit oder für Kreditvergabezwecke.
Zum Redaktionsschluss war die Erweiterung in beiden Stores weiterhin abrufbar. BleepingComputer hat JeetBot über die im Chrome Web Store hinterlegte E-Mail-Adresse um weitere Informationen gebeten, bis zur Veröffentlichung jedoch keine Antwort erhalten.
Die Forscher von Socket halten die Erweiterung für ein Sicherheitsrisiko und empfehlen Betroffenen, sie aus dem Browser zu entfernen, in Twitch sämtliche Sitzungen zu trennen und sich anschließend neu anzumelden. Damit werden alle Tokens ungültig, die möglicherweise weitergeleitet wurden. Entwicklern rät Socket grundsätzlich davon ab, Anfragen mit Authentifizierungs-Headern oder Tokens über Server Dritter zu leiten.