Еще в феврале текущего года 16-летний баг-хантер их Чехии Томас Орлита (Thomas Orlita) обнаружил опасную уязвимость в одном из бэкэнд-приложений Google. Баг позволял украсть cookie-файлы сотрудников компании от внутренних приложений и учетных записей, а с их помощью организовать фишинговые атаки и получить доступ к другим частям внутренней сети Google.
Проблема была устранена еще в апреле, и, выждав некоторое время, Орлита решил раскрыть детали обнаруженной уязвимости публично.
Уязвимость представляла собой XSS (cross-site scripting) на сайте Google Invoice Submission Portal (gist-uploadmyinvoice.appspot.com), через который бизнес-партнеры компании представляют счета на оплату в рамках уже заключенных договоров. Исследователь обнаружил, что злоумышленник мог загрузить модифицированные специальным образом файлы, используя поле Upload Invoice.
Используя прокси, атакующий мог перехватить загружаемый файл сразу после добавления формы, но до того, как имела место валидация. В итоге, используя баг, документ можно было модифицировать из PDF в HTML. Данные попадали на бэкэнд Google, где автоматически выполнялись, когда сотрудник пытался их просмотреть.
«XSS-баг срабатывал на поддомене googleplex.com, скажем, xxx.googleplex.com, когда сотрудник залогигнен в системе. Поскольку на этом поддомене можно выполнить произвольный JavaScript, злоумышленник получал доступ к панели управления на этом поддомене, где можно просматривать счета и управлять ими. В зависимости от настроек куки на googleplex.com, также можно было получить доступ к другим внутренним приложениям, размещенным на этом домене», — объясняет Орлита.
