Независимый исследователь Айдан Вудс (Aidan Woods) обнаружил уязвимость на странице авторизации Google, которую компания не может исправить. Эксплуатация бага может привести к автоматической загрузке малвари прямо со страницы логина.
В своем блоге Вудс рассказал, что проблема заключается в том, что Google разрешает использование на странице авторизации GET-параметра «continue=[ссылка]». Данный параметр, по сути, сообщает серверу Google, куда перенаправить пользователя после аутентификации. Понимая, что такое решение может доставить немало проблем, разработчики Google ограничили его использование только доменами компании, то есть подойдут только домены *.google.com/*.
Вудс пишет, что ссылки на drive.google.com и docs.google.com параметр continue тоже воспринимает как должно, то есть разрешает их использование. Таким образом, атакующий может разместить практически любую малварь в Google Drive или Google Docs и скрыть ее в URL официальной страницы авторизации. Пользователь, который нажмет на такую ссылку, скорее всего, ничего не заподозрит, так как действительно попадет на страницу логина Google. Но как только жертва пройдут процедуру авторизации и нажмет на кнопку Sign In, на компьютер без ведома пользователя будет загружен вредоносный файл.
Исследователь честно попытался сообщить о проблеме специалистам Google, однако те закрыли все три баг-репорта Вудса. В блоге исследователь приводит свою переписку с сотрудниками компании и пишет, что они, похоже, не до конца понимают важность проблемы.
«Мы провели расследование вашего отчета и приняли решение не классифицировать это как проблему безопасности. К сожалению, данный отчет не будет принят нашим VRP. Мы рассматриваем только первые отчеты о технических уязвимостях, которые явно затрагивают конфиденциальность или целостность данных наших пользователей, и мы считаем, что описанная вами проблема не дотягивает до этой планки :(«, — сообщил специалист Google Вудсу.
Исследователь надеется, что публичное раскрытие информации о баге наконец привлечет внимание Google к проблеме. Вудс даже снял видео, в котором детально продемонстрировал работу уязвимости. Ролик можно увидеть ниже.
