0 Compartilhamentos 302 Views

Pesquisador de segurança invadiu sistema de bugs do Google

31 de outubro de 2017

Imagine o que um hacker poderia fazer se tivesse acesso à lista interna completa de todas as vulnerabilidades detectadas em produtos e serviços do Google e ainda não corrigidas. Foi exatamente isso o que um pesquisador de segurança conseguiu.

Forjando um email corporativo da empresa, Alex Birsan conseguiu acesso com privilégio máximo aos relatórios de falhas de seguranças mais graves disponíveis no sistema Issue Tracker do Google.

Embora o sistema seja relativamente público, ele permite que caçadores de bugs e pesquisadores de segurança submetam e acompanhem o status das vulnerabilidades que descobrem. Mas Birsan penetrou nos bastidores do serviço, simulando uma conta Gmail supostamente pertencente ao próprio Google. A conta não foi verificada e o Issue Tracker automaticamente concedeu ao pesquisador permissões de administrador, como se ele fosse funcionário da empresa, permitindo a interação com bugs enviados por outras pessoas.

Alterando o valor das requisições, o pesquisador detectou mais uma brecha e obteve acesso para visualizar todos os bugs listados, incluindo os mais críticos, perigosos e ainda não corrigidos. Uma terceira falha na segurança permitiria também que Birsan extraísse esses dados do sistema com facilidade e permitiria inclusive que fosse montada uma estrutura de monitoramento em tempo real de todos os bugs enviados ao Issue Tracker.

Segundo o pesquisador, ele esbarrou no “Cálice Sagrado dos bugs do Google”. Mas ele explicou em entrevista que para um invasor fazer uso das informações obtidas seria necessário contar com uma infraestrutura operacional bastante robusta, uma vez que as vulnerabilidades mais graves costumam ser corrigidas em questão de horas. Um ataque em larga escala que explorasse as vulnerabilidades disponíveis no Issue Tracker seria praticamente impossível, mas ele conta que uma operação conduzida por um governo hostil e focada em alvos específicos poderia se beneficiar do conteúdo do Issue Tracker.

Felizmente, as brechas exploradas por Alex Birsan para penetrar no sistema já foram corrigidas pelo Google, tão logo ele as reportou à empresa. Por sua descoberta, o Google garantiu ao pesquisador uma recompensa no valor de cerca de 15 mil dólares, além de um adicional de três mil dólares como incentivo para que ele continue procurando falhas de segurança no funcionamento do Issue Tracker.

Carregando...

Você pode se interessar

Promoções de Jogos do Final de Semana (16/10)
Notícias
12 visualizações
Notícias
12 visualizações

Promoções de Jogos do Final de Semana (16/10)

Carlos L. A. da Silva - 16 de outubro de 2020

Confira as melhores ofertas de jogos de PC para o final de semana.

Os 7 piores erros de Excel da História
Artigos
17 visualizações
Artigos
17 visualizações

Os 7 piores erros de Excel da História

Carlos L. A. da Silva - 15 de outubro de 2020

O editor de planilhas é uma ferramenta poderosa da Microsoft... desde que esteja nas mãos certas.

Como aprender JavaScript de graça com a Microsoft
Dicas
19 visualizações
Dicas
19 visualizações

Como aprender JavaScript de graça com a Microsoft

Carlos L. A. da Silva - 14 de outubro de 2020

Empresa publicou uma série gratuita de 51 vídeos no YouTube.

Deixe um Comentário

Your email address will not be published.

Mais publicações

Promoções de Jogos do Final de Semana (09/10)
Notícias
24 visualizações1
24 visualizações1

Promoções de Jogos do Final de Semana (09/10)

Carlos L. A. da Silva - 9 de outubro de 2020
Como a Microsoft entrou na guerra contra os Deep Fakes
Artigos
23 visualizações
23 visualizações

Como a Microsoft entrou na guerra contra os Deep Fakes

Carlos L. A. da Silva - 6 de outubro de 2020
Como recuperar a senha de Wi-Fi do Windows
Dicas
25 visualizações
25 visualizações

Como recuperar a senha de Wi-Fi do Windows

Carlos L. A. da Silva - 3 de outubro de 2020
Promoções de Jogos do Final de Semana (02/10)
Notícias
28 visualizações
28 visualizações

Promoções de Jogos do Final de Semana (02/10)

Carlos L. A. da Silva - 2 de outubro de 2020