Nul
(Afbeelding: foto bestand)
Een reeks van fouten in Google ‘ s interne bug tracker laat een security-onderzoeker toegang tot enkele van de meest kritische en gevaarlijke beveiligingslekken.
De interne bug reporting systeem, bekend als de Issue Tracker (of de “Buganizer”), wordt gebruikt door de onderzoekers van de veiligheid en bug finders voor te leggen vraagstukken, problemen en kwetsbaarheden in de beveiliging van Google ‘ s software, diensten en producten.
De meeste gewone gebruikers hebben nauwelijks toegang tot de bug tracker. Maar een security-onderzoeker vond dat door spoofing een Google corporate e-mail adres, hij was in staat om toegang te krijgen tot de back-end van het systeem, en duizenden van bug reports — sommige zijn gemarkeerd als “prioriteit nul,” de meest ernstige en gevaarlijke beveiligingslekken, die een hacker zou kunnen doen onnoemelijke schade.
Alex Birsan, de ontdekker van de gebreken, vertelde ZDNet dat een aanvaller zou hebben ontdekt en benut ingediend kwetsbaarheden te richten en mogelijk gevaar opleveren voor Google-accounts.
Erger is, kan een aanvaller heb gebruik gemaakt van een kwetsbaarheid voor het infiltreren van Google ‘ s interne netwerk.
Birsan toegelicht in een schrijven van zijn bevindingen die hij schiep een Gmail-account die, voorafgaand aan de verificatie van de nieuwe account per e-mail, laat een gebruiker wijzigen hun e-mail adres in om een e-mail adres, waaronder Google corporate accounts.
Hoewel Birsan de nieuw gemaakte nep-Google-account zou het hem niet geven directe toegang tot het netwerk van de vennootschap, het was genoeg om de truc van de Issue Tracker in het denken, hij was een medewerker, waardoor hij verhoogde bevoegdheden te bekijken en te communiceren met bug-rapporten, zoals het ontvangen van meldingen en updates op problemen.
Van daar, hij was in staat om te sturen gewijzigd verzoeken om de Issue Tracker server, hem te laten lezen elke fout die hij wilde — inclusief de meest gevoelige kwetsbaarheden — omwille van een niet (goed) valideren van de ingelogde gebruiker machtigingen voor elk rapport.
Of, als Birsan beschreven, de “heilige graal van Google bugs.”
“Erger nog, ik kon exfiltrate gegevens over meerdere tickets in één verzoek, zodat bewaken van alle de interne activiteit in real time waarschijnlijk niet zou hebben geleid tot een tarief limiters,” legde hij uit.
Nadat hij melding van de bugs, zijn de toegang is ingetrokken en de kwetsbaarheid verholpen binnen het uur.
Birsan niet onderschatten de ernst van de kwetsbaarheden, maar afgedekt zijn bevindingen met een belangrijke waarschuwing. Hoe groter de kwetsbaarheid, hoe sneller het wordt vastgesteld door Google, legde hij uit. “Dus zelfs als je geluk hebt vang je een goede een, zodra deze is gemeld, kunt u nog hebt om een plan te hebben voor wat je doet.”
“Dat gezegd zijnde, geloof ik, je zou een vrij goede kans van afbreuk te doen aan Google-accounts als u had een paar specifieke doelen en gooide elke aanval op hen,” zei hij.
Maar een grootschalige aanval die zet honderdduizenden accounts in gevaar was minder waarschijnlijk, zei hij. “Al met al, het is volledig afhankelijk van wat andere mensen melden terwijl je niet afluisteren,” voegde hij eraan toe.
Gezien het feit dat duizenden interne problemen werden toegevoegd, elk uur, zei hij: “Wie weet wat voor soort sappige informatie kan worden gevonden in er?”
Deze bug databases zijn rijp doelstellingen voor de natie-staat aanvallers, die wilt targeten grote technologie bedrijven. Eerder deze maand, Reuters gemeld dat Microsoft ‘ s secret bug database, inclusief gebreken voor Windows, is geschonden in 2013.
In alle, Birsan werd bekroond met een beetje meer dan $15,600 in bug gaven van Google voor de drie bugs.
Hij werd ook gegeven $3,133 als een aanvullende beurs te gaan met het onderzoek naar kwetsbaarheden met de Issue Tracker.
Als deze bereikt wordt, een Google-woordvoerder zei: “Wij waarderen Alex verslag. We hebben gepatcht de kwetsbaarheden die hij gemeld, evenals hun varianten.”
Neem Contact met mij goed
Zack Whittaker kan worden bereikt stevig Signaal en WhatsApp op 646-755-8849, en zijn PGP vingerafdruk voor e-mail is: 4D0E 92F2 E36A EC51 DAAE 5D97 CB8C 15FA EB6C EEA5.
Lees Meer
ZDNET ONDERZOEKEN
Gelekt TSA documenten onthullen in New York airport golf van gebrekkige beveiliging
AMERIKAANSE regering geduwd tech bedrijven om de hand over de source code
Bij de AMERIKAANSE grens: Gediscrimineerd, vastgehouden, gezocht, ondervroeg
Miljoenen klant van Verizon records blootgesteld in veiligheid te vervallen
Aan de schimmige tech makelaars dat levert de data voor de NSA
Binnen de wereldwijde terreur watchlist dat in het geheim schaduwen miljoenen
FCC-voorzitter gestemd voor het verkopen van uw browsegeschiedenis, dus hebben we gevraagd te zien zijn
Met een enkele aftappen om de AMERIKAANSE autoriteiten luisterden in op 3,3 miljoen telefoongesprekken
198 miljoen Amerikanen getroffen door de grootste ooit’ kiezer records lek
Groot-brittannië heeft doorgegeven ‘de meest extreme toezicht wet ooit voorbij in een democratie’
Microsoft zegt ‘geen bekende ransomware’ draait op Windows, 10 S, dus hebben we geprobeerd om te hacken
Uitgelekt document onthult de BRITSE plannen voor een bredere internet surveillance
Verwante Onderwerpen:
Beveiliging TV
Data Management
CXO
Datacenters
0