Imagine o que um hacker poderia fazer se tivesse acesso à lista interna completa de todas as vulnerabilidades detectadas em produtos e serviços do Google e ainda não corrigidas. Foi exatamente isso o que um pesquisador de segurança conseguiu.
Forjando um email corporativo da empresa, Alex Birsan conseguiu acesso com privilégio máximo aos relatórios de falhas de seguranças mais graves disponíveis no sistema Issue Tracker do Google.
Embora o sistema seja relativamente público, ele permite que caçadores de bugs e pesquisadores de segurança submetam e acompanhem o status das vulnerabilidades que descobrem. Mas Birsan penetrou nos bastidores do serviço, simulando uma conta Gmail supostamente pertencente ao próprio Google. A conta não foi verificada e o Issue Tracker automaticamente concedeu ao pesquisador permissões de administrador, como se ele fosse funcionário da empresa, permitindo a interação com bugs enviados por outras pessoas.
Alterando o valor das requisições, o pesquisador detectou mais uma brecha e obteve acesso para visualizar todos os bugs listados, incluindo os mais críticos, perigosos e ainda não corrigidos. Uma terceira falha na segurança permitiria também que Birsan extraísse esses dados do sistema com facilidade e permitiria inclusive que fosse montada uma estrutura de monitoramento em tempo real de todos os bugs enviados ao Issue Tracker.
Segundo o pesquisador, ele esbarrou no “Cálice Sagrado dos bugs do Google”. Mas ele explicou em entrevista que para um invasor fazer uso das informações obtidas seria necessário contar com uma infraestrutura operacional bastante robusta, uma vez que as vulnerabilidades mais graves costumam ser corrigidas em questão de horas. Um ataque em larga escala que explorasse as vulnerabilidades disponíveis no Issue Tracker seria praticamente impossível, mas ele conta que uma operação conduzida por um governo hostil e focada em alvos específicos poderia se beneficiar do conteúdo do Issue Tracker.
Felizmente, as brechas exploradas por Alex Birsan para penetrar no sistema já foram corrigidas pelo Google, tão logo ele as reportou à empresa. Por sua descoberta, o Google garantiu ao pesquisador uma recompensa no valor de cerca de 15 mil dólares, além de um adicional de três mil dólares como incentivo para que ele continue procurando falhas de segurança no funcionamento do Issue Tracker.
