Pesquisador de segurança invadiu sistema de bugs do Google
Imagine o que um hacker poderia fazer se tivesse acesso à lista interna completa de todas as vulnerabilidades detectadas em produtos e serviços do Google e ainda não corrigidas. Foi exatamente isso o que um pesquisador de segurança conseguiu.
Forjando um email corporativo da empresa, Alex Birsan conseguiu acesso com privilégio máximo aos relatórios de falhas de seguranças mais graves disponíveis no sistema Issue Tracker do Google.
Embora o sistema seja relativamente público, ele permite que caçadores de bugs e pesquisadores de segurança submetam e acompanhem o status das vulnerabilidades que descobrem. Mas Birsan penetrou nos bastidores do serviço, simulando uma conta Gmail supostamente pertencente ao próprio Google. A conta não foi verificada e o Issue Tracker automaticamente concedeu ao pesquisador permissões de administrador, como se ele fosse funcionário da empresa, permitindo a interação com bugs enviados por outras pessoas.
Alterando o valor das requisições, o pesquisador detectou mais uma brecha e obteve acesso para visualizar todos os bugs listados, incluindo os mais críticos, perigosos e ainda não corrigidos. Uma terceira falha na segurança permitiria também que Birsan extraísse esses dados do sistema com facilidade e permitiria inclusive que fosse montada uma estrutura de monitoramento em tempo real de todos os bugs enviados ao Issue Tracker.
Segundo o pesquisador, ele esbarrou no “Cálice Sagrado dos bugs do Google”. Mas ele explicou em entrevista que para um invasor fazer uso das informações obtidas seria necessário contar com uma infraestrutura operacional bastante robusta, uma vez que as vulnerabilidades mais graves costumam ser corrigidas em questão de horas. Um ataque em larga escala que explorasse as vulnerabilidades disponíveis no Issue Tracker seria praticamente impossível, mas ele conta que uma operação conduzida por um governo hostil e focada em alvos específicos poderia se beneficiar do conteúdo do Issue Tracker.
Felizmente, as brechas exploradas por Alex Birsan para penetrar no sistema já foram corrigidas pelo Google, tão logo ele as reportou à empresa. Por sua descoberta, o Google garantiu ao pesquisador uma recompensa no valor de cerca de 15 mil dólares, além de um adicional de três mil dólares como incentivo para que ele continue procurando falhas de segurança no funcionamento do Issue Tracker.
Você pode se interessar

Como se tornar um Engenheiro DevOps em 2021
Carlos L. A. da Silva - 1 de março de 2021A consultora de DevOps e evangelista Nana Janashia apresenta um passo a passo de tudo que você precisa saber para dominar o DevOps em 2021.

Quanto ganha um programador? Confira uma das maiores pesquisas salariais realizadas no Brasil
Redação - 23 de fevereiro de 2021O Canal Código Fonte TV realizou uma pesquisa salarial com mais de 11 mil programadores brasileiros. Entre os dados coletados é possível analisar a média salarial por: tecnologia, idade, gênero, região, entre muitos outros insights.

Seus dados vazaram. E agora?
Carlos L. A. da Silva - 19 de fevereiro de 2021Seus dados pessoais foram vazados e essa é uma verdade praticamente inevitável. A meta agora é minimizar os possíveis danos e cobrar autoridades.
Mais publicações




Deixe um Comentário