Исследователь обнаружил дыры в безопасности в базе данных Google для отслеживания ошибок, которые могли потенциально привести к тому, что злоумышленники получили доступ к конфиденциальной информации, включая сведения о способах использования незащищенных уязвимостей в продуктах Google.

Исследователь Алекс Бирсан имеет описано как ему удалось обмануть систему отслеживания проблем Google (известную внутренне для сотрудников Google как Buganizer), предоставив ему доступ к гораздо большему количеству информации, чем обычно было бы разрешено внешним сторонам.

И суть атаки? Бирсан нашел способ обмануть Google, чтобы он зарегистрировал для него учетную запись @ google.com, что обычно используется сотрудниками компании.

Обычно Gmail запрещает кому-либо создавать аккаунт с адресом @ google.com, но Бирсан нашел обходной путь:

Если я зарегистрировался с любым другим поддельным адресом электронной почты, но не смог подтвердить учетную запись, щелкнув ссылку, полученную по электронной почте, мне было разрешено изменить свой адрес электронной почты без каких-либо ограничений. Используя этот метод, я изменил адрес электронной почты новой учетной записи Google на [email protected].

Хотя обманчивого адреса электронной почты было недостаточно, чтобы пропустить Birsan через корпоративную страницу входа Google, он предоставил ему ряд других преимуществ, включая то, что, по-видимому, было Корпоративная служба такси Google , а также более глубокий доступ к системе отслеживания ошибок компании.

Кроме того, исследователь нашел способ убрать ограниченную функциональность, обычно имеющуюся у сторонних разработчиков, получающих доступ к системе отслеживания проблем Google.

Ошибки в системе могли помочь неавторизованным сторонам получить доступ к деталям каждого отчета об уязвимости, отправленного в Google, открыв дверь для использования до того, как будет выпущено исправление.

Как объясняет Бирсан, последствия взлома данных могли быть серьезными:

«В Маунтин-Вью открывается около 2000–3000 номеров в час, и только 0,1% из них являются публичными. Похоже, утечка данных в этой системе будет иметь большое влияние ».

К счастью, Бирсан - один из хороших ребят - и ответственно сообщил Google об уязвимостях, чтобы их можно было быстро исправить. За его усилия он был награжден в общей сложности $ 15 600 в щедроты ,

Но вы не можете не думать, что спецслужбы и организованные преступники, вероятно, были бы готовы заплатить гораздо больше за подробности ошибок в системе Google, подобных этой, особенно если учесть ценность незащищенных уязвимостей и кода эксплойтов, которые могли бы пролиться. в результате.

Примечание редактора . Мнения, высказанные в этой статье гостя-автора, принадлежат исключительно авторам и не обязательно отражают точку зрения Tripwire, Inc.

Похожие