Sikkerhedsforsker Sreeram KL har rapporteret om en sårbarhed i feedbackværktøjet i Google-tjenester.
Virksomheden har patchet den fejl, som kunne have gjort det muligt for angribere at stjæle skærmbilleder af følsomme Google Docs-dokumenter ved at indlejre dem i et ondsindet websted. Forskeren blev tildelt $3133,70 i henhold til Googles sårbarhedsbelønningsprogram.
Sårbarhed i Google Docs forklaret
“Jeg var i stand til at kapre Google Docs-skærmbillede af ethvert dokument, der udnytter fejlkonfiguration af postmessage og en browseradfærd,”Sreeram KL siger i sin rapport. Sårbarheden, han opdagede, lå i en Google-funktion kaldet "Send feedback". Funktionen er til stede i de fleste af virksomhedens produkter, og det giver mulighed for at tilføje skærmbilleder med en kort beskrivelse af et eventuelt problem.
”Da dette er en almindelig funktion tilgængelig på de fleste af deres websteder, de har implementeret funktionaliteten i https://www.google.com og er integreret med andre domæner via Iframe,”Forklarer Sreeram. Forskeren opdagede en fejl i den måde, billederne blev videregivet til “feedback.googleusercontent.com,” som kunne give trusselsaktører mulighed for at ændre rammen til en vilkårlig, eksternt websted, til sidst stjæle og kapre Google Docs-skærmbilleder, der er beregnet til at blive uploadet til Googles servere.
Hvor stammer Google docs-fejlen fra? Fejlen stammer fra manglen på en X-Frame-Options-overskrift i Google Docs-domænet. Dette kan gøre det muligt for angribere at ændre meddelelsens måloprindelse og drage fordel af krydskildekommunikationen mellem siden og rammen.
Hvor let er det at udnytte Google Docs-fejlen?
Det skal bemærkes, at et angreb baseret på denne fejl kræver en vis brugerinteraktion, såsom at klikke på knappen Send feedback. Men, fejlen er stadig let at udnytte til at fange URL'en til det uploadede skærmbillede og uploade den til et ondsindet websted. Dette gøres ved at integrere Google Docs-filen i en iFrame på et mistænkeligt websted og kapre pop op-rammen for at omdirigere dem til en angribers domæne.. Afslutningsvis, ikke at give en måloprindelse i en krydsoprindelseskommunikation er et sikkerhedsproblem, fordi det afslører de data, der sendes til ethvert websted.
Forskeren leverede også et video proof-of-concept, som du kan se på hans blog.
I august 2020, sikkerhedsforskere opdagede a sårbarhed i Google Drev. Fejlen kunne tillade trusselsaktører at sprede ondsindede filer, der er maskeret som legitime dokumenter eller billeder. Yderligere, dette kunne derefter gøre det muligt for angribere at udføre ganske vellykkede spyd-phishing-angreb.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: