Google Bug Tracker中存在缺陷暴露的安全漏洞 2017-07-04 15:01:03

$888.88
所属分类 :金融

Google内部错误报告系统中的许多安全漏洞允许未经授权的访问,这些漏洞揭示了公司产品和服务中最严重和最严重的漏洞

安全研究员Alex Birsan首先发现了这些缺陷,他发现他可以成功访问Google的问题跟踪器 - 另外称为“Buganizer” - 并查看Google自己软件中发现的报告问题和问题

新闻周刊将于12月6日至7日在纽约举行的资本市场会议上主持AI和数据科学

图片:新闻周刊媒体集团虽然可以公开访问问题跟踪器,但普通用户可以获得的信息非常少

它显示了已报告或分配给用户的报告错误和安全漏洞 - 这是典型Google用户可能没有参与的内容

但是,Birsan能够更深入地了解Google问题监控服务的活动通过欺骗谷歌企业电子邮件地址的简单技巧,该地址可以更好地访问由搜索巨头跟踪和修复的错误

该方法揭示了成千上万的错误报告,包括那些标记为“优先级为零”的报告 - 尚未解决的最严重和最危险的漏洞,使得安全漏洞成熟以至于他们落入坏人之手

安全公司Tripwire的计算机安全研究员Craig Young告诉国际商业时报,“突出科技公司中使用的漏洞跟踪器对于希望提高其零日能力的攻击者来说是一个非常有利可图的目标

” “访问私人错误跟踪器可以让攻击者花时间制作漏洞利用程序以及在公共安全社区有机会之前找到相关漏洞,”Young解释道

Birsan在博客文章中指出,攻击者可以通过简单地将他们的电子邮件地址更改为任何地址来利用该漏洞,包括使用@ google.com域名的Google公司帐户,创建虚假帐户而不验证它

通过选择不进行验证,用户可以更改帐户名称(包括域名),而不受限制,允许他们使用@ google.com公司域名

托管在Google公司域中的电子邮件地址不提供对公司内部网络或服务器的直接访问,但确实授予了对事件跟踪器的更多访问权限,因为该平台将其注册为员工并提供了提升权限

一旦Birsan有权访问,他就能够阅读任何错误报告,发送请求并与平台上的其他报告进行交互

“我可以在一次请求中泄露有关多张票的数据,因此实时监控所有内部活动可能不会触发任何限速器,”他写道

Birsan向谷歌报告了这个问题,该公司很快撤销了他的访问权限并修复了允许他或任何其他攻击者伪装成员工的漏洞

“我们很欣赏亚历克斯的报告,”谷歌发言人谈到了这一情况

“我们修补了他报告的漏洞以及他们的变种

” Tripwire的年轻人建议处理敏感漏洞内容的组织“需要尽可能严格限制这些数据,而不会对开发和测试团队造成过度负担

”他建议为安全和非安全报告创建一个单独的错误跟踪器,以便安全可以更严密地监控相关问题