Анонимность в интернете — сейчас весьма условное понятие, однако есть определенная категория пользователей, которые стремятся не оставлять в публичном доступе некоторые свои данные. Среди них — авторы и администраторы YouTube-каналов. Так как канал может являться высокоприбыльным активом, сам факт публикации электронной почты его админки — уже опасная ситуация.
Исследователь под ником Brutecat сумел получить адрес почты стороннего канала YouTube, при этом используя уязвимость, которая вообще находилась в старом приложении для Google Pixel. И причиной тому — стремление Google стандартизировать и объединить все свои продукты в единую систему.
К сожалению, Google широко известна не только своими успешными продуктами, но еще и тем, что она беспощадно закрывает или забрасывает свои проекты, выпуская всего одну-две версии. Для других разработчиков продукты могли бы быть успешными, но в случае с Google никто ничего кроме «оглушительного успеха» не ждет. Так что у компании есть целое кладбище как купленных, так и самостоятельно начатых проектов и сервисов.
Если по какому-то удивительному стечению обстоятельств непопулярное приложение или сервис остается в живых, то его поддержка и разработка происходит либо по остаточному принципу, либо вообще забрасывается. И с таким подходом не было бы проблем, если бы Google не прикручивала к своим приложениям и сервисам те же системы безопасности и идентификации, которая она использует в своих основных продуктах.
Brutecat атаковал YouTube через его же систему идентификации Gaia — единую обфусцированную систему, которая имеет сквозной характер на всех проектах Google и позволяет увязывать между собой различные учетные записи пользователей. А так же банить людей не только в отдельно взятом приложении или сервисе, а в целом — по всей экосистеме Google. Актуальная конфигурация Gaia уязвимости не подвержена и через нее напрямую получить адрес электронной почты атакуемого пользователя нельзя, но Brutecat обратился к старым приложениям Pixel.
Как упоминалось ранее, Google беспечно относится к мелким проектам, так что Brutecat знал о старых проблемах этой системы и стал искать продукт компании, который все еще подключен к сервисам гиганта но давно не получал апдейтов. Им стало приложение «диктофон», разработанное когда-то для Google Pixel.
С помощью публикации записи в приложении через старую веб-версию с подменой Gaia ID, исследователь смог получить в ответ адрес электронной почты цели. А для того, чтобы жертва не получила уведомлении о публикации и ничего не заподозрила — перегрузил кэш абсурдно длинным именем файла в 2,5 миллиона символов.
Специалисты Bug Bounty-программы Google оценили эксплоит всего в $3133, но потом немного подумали и добавили к награде Brutecat еще $7500, так что на текущий момент эта дыра должна быть закрыта.
Сам по себе эксплоит не угоняет аккаунт YouTube, но раскрывает наиболее чувствительную пользовательскую информацию и формирует приоритетный вектор атаки для хакера. Так же его можно было использовать для создании базы адресов, на которых есть YouTube-канал. Так что неизвестно, была ли оплата работы Brutecat справедливой, а так же как долго этой уязвимостью пользовались потенциальные злоумышленники.
Печальнее скорее то, что даже при соблюдении достаточно строгих норм цифровой и ИБ-гигиены совершенно не гарантировано, что ваш изолированный адрес электронной почты или другие данные, которые вы никогда нигде не использовали кроме основного назначения, не попали в руки к злоумышленникам. Просто потому что один цифровой гигант забыл обновить маленькое старое приложение, о котором вы даже никогда не слышали.
С подробным отчетом Brutecat вы можете ознакомиться на его персональном сайте.
