Un cercetător în securitate a descoperit un defect al bazei de date cu bug-uri a Google

Un cercetător în securitate a descoperit un mod de a accesa toată baza de date cu bug-uri a Google, putând vedea și problemele nerezolvate.

Alex Birsan, un cercetător în securitate, a fost recompensat cu 15.000 de dolari deoarece a descoperit un defect al bazei de date de la Google ce conține bug-uri, numită Issue Tracker și alte două defecte diferite. Cea mai importantă dintre vulnerabilități îi putea permite să manipuleze cererile făcute către sistem pentru a crește privilegiile și a-i permite să acceseze fiecare detaliu legat de o anumită vulnerabilitate, conform threatpost.com.

Birsan a precizat că vizitatorii externi ai Issue Tracker au privilegii diferite față de echipele de la Google care se ocupă de rezolvarea problemelor. Birsan spune că a găsit o metodă ce folosește JavaScript pentru a permite unei persoane să se șteargă de pe lista de vizitatori pentru a avea acces la toată baza de date.

O altă metodă consta în falsificare unei adrese de e-mail pentru a părea că aparține unui angajat al Google. Astfel cercetătorul a putut păcăli sistemul că este un angajat. În afara faptului că putea să vadă toate bug-urile din baza de date, Birsan mai putea extrage datele a mai multor bug-uri printr-o singură cerere, conform zdnet.com.

După ce a raportat defectele de securitate, i-a fost revocat accesul, iar vulnerabilitatea a fost eliminată într-o oră.

Bazele de date cu bug-uri ale companiilor sunt o țintă ieșită din comun, dar care poate fi foarte productivă pentru hackeri dacă reușesc să o acceseze deoarece îi poate ajuta să exploateze și să găsească noi bug-uri înainte ca problemele să fie rezolvate, conform lui Craig Young, cercetător în securitate al firmei Tripwire. El mai spune că un atacator inteligent ar putea modifica datele despre bug-uri prin amânarea accesului la raport sau schimbarea unor detalii pentru a spune că acesta nu mai se produce, conform threatpost.com.