Imagine que hay un error actualmente explotables en Google. Bueno, la verdad es que no es necesario imaginar porque ya está ahí! investigador de seguridad británico Aidan Woods, simplemente da a conocer un problema encontrado en la página de inicio de sesión de Google. Este problema permite a los atacantes para descargar automáticamente los archivos en el ordenador del usuario. Todo lo que necesitan hacer es pulsar el botón Iniciar sesión, y listo! De acuerdo con la investigador, Google ha sido notificado de la cuestión, pero no ha hecho nada hasta ahora para mitigar. Debido a la respuesta de Google no para tratar el problema como un error, el investigador decidió hacerlo público, con la esperanza de que la compañía tomará medidas.
Defectuoso Conectar Páginas de Google Explicación
La funcionalidad del inicio de sesión acción de envío puede ser envenenado, tal como:
- Un paso arbitraria se añade al final del procedimiento de inicio de sesión (por ejemplo. un “contraseña incorrecta, Por favor, inténtelo de nuevo” página, el que roba las credenciales cuando el usuario vuelve a entrar en ellas)
- Un archivo arbitrario se envía al navegador del usuario cada vez que se envía el formulario de inicio de sesión, sin descargar la página de inicio de sesión
- etc… vectores solamente limitadas por la amplitud de los servicios de Google que podría ser mal bajo la apariencia de un paso de inicio de sesión
Se representa la vulnerabilidad
la página de inicio de sesión de Google acepta un parámetro GET vulnerables, escribe el investigador. El parámetro defectuoso pasa a través de una comprobación básica:
→Debe apuntar a .google.com * / *
La aplicación también no puede autenticar el servicio de Google especificada. ¿Qué significa este? Cualquier servicio de Google se puede insertar al final del proceso de inicio de sesión, gusta:
- redireccionamiento abierto (elegir uno)
- Carga de archivos arbitrarios(Google Drive)
Finalmente, actores maliciosos podrían albergar malware en Google Drive / Docs Google. drive.google.com, docs.google.com se podrían pasar como válida “continuar” parámetros dentro de la URL de inicio de sesión. Entonces, el atacante sería capaz de cargar software malicioso a su cuenta de Google Drive o Google Docs, y ocultarlo dentro de la entrada oficial de Google.
Entonces, estos enlaces pueden ser enviados a los usuarios que les abrirían creer que son legítimos direcciones URL de acceso de Google. Una vez que se accede a la página de un conectado, archivos maliciosos se pueden descargar en el sistema de la víctima sólo pulsando el botón Iniciar sesión.
Que hizo Google Decir?
Gracias por su informe de error y la investigación para mantener a los usuarios seguros! Hemos investigado la sumisión y la decisión de no realizar el seguimiento como un fallo de seguridad. Este informe lamentablemente no ser aceptado por nuestra VRP. Sólo los primeros informes de vulnerabilidades de seguridad técnicas que afecten sustancialmente a la confidencialidad o integridad de nuestros usuarios’ los datos son en su alcance, y creemos que el tema que usted ha mencionado no cumple con esa barra :(
Qué piensas? ¿El tema merece la atención de Google?
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: