Google sistemlerinde uzaktan kod çalıştırma açığı keşfedildi
Öne çıkanlar
- Flask oturum çerezi, kendi imzalama anahtarı olarak kullanılan OAuth istemci sırrını açık metin olarak taşıdı.
- Güvenlik açığı Firebase ve Android geliştirici portalları dahil yedi farklı Google alan adını etkiledi.
- Zamanlama saldırısıyla kanıtlanan kritik açık sonrasında araştırmacıya 90 bin dolar ödül verildi.
Bir güvenlik araştırmacısı, developers.google.com üzerindeki OAuth akışını incelerken Google sunucularında kimlik doğrulaması gerektirmeyen bir uzaktan kod yürütme açığı tespit etti. Flask oturum çerezinde saklanan verileri çözümleyen araştırmacı, sistemin imzalama anahtarını çerezin kendi içindeki istemci sırrından aldığını belirledi. Bu durum, saldırganların geçerli imzaya sahip sahte çerezler üreterek sunucu tarafında Python nesnelerini serileştiren pickle mekanizmasını tetiklemesine zemin hazırladı.
Araştırmacı, bulguyu doğrulamak için üretim ortamına doğrudan zarar vermeden gecikme tabanlı zamanlama saldırısı tekniğini kullandı. Sahte oturum çerezi içerisine zaman gecikmesi komutları yerleştiren uzman, sunucunun yanıt sürelerini doğrudan manipüle ederek kod çalıştırma yetkisini ispatladı. Paylaşımlı DevSite altyapısı nedeniyle söz konusu imzalama anahtarının firebase.google.com ve developer.android.com dahil yedi farklı Google alan adında geçerli olduğu anlaşıldı.
Google güvenlik ekibi, bildirilen güvenlik açığını en kritik seviye olan S0 RCE kapsamında değerlendirerek hızla kapattı. Şirket, açığa çıkan gizli anahtarları yeniledi ve istemci tarafında pickle serileştirme kullanımına son vererek sunucu tarafı oturum modeline geçti. Sorunu ayrıntılı biçimde raporlayan araştırmacıya Google Bug Hunters programı kapsamında 90 bin dolar ödül verildi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.