Ce s-a întâmplat?
În urma unei analize a fluxului OAuth2 utilizat pe toate site‑urile de documentație Google, s-a descoperit o greșeală critică de securitate. Cookie‑ul de sesiune al aplicației Flask era semnat cu un secret care, surprinzător, se afla însurat în același cookie.
Culture picks
Microsoftul îndeamnă la reglementare AI în contextul securității cibernetice
Scamuri de dragoste cu AI: cum tehnologia de generare a conținutului păcălește victimele
Prețurile GPU-urilor urcă: ce înseamnă asta pentru Nvidia și jucătorii
Blueprints AI: Planuri de construcție gata de permisiune în doar câteva minuteAstfel, oricine intercepta sau citise cookie‑ul putea extrage cheia, crea un token fals și obține acces autentic la resursele protejate.
Cum funcționează atacul?
După autentificare, serverul trimite un cookie de sesiune. În această versiune, payload‑ul conținea cheia de semnare în clar.
Un atacator, având acces la rețea, extrage secretul, semnează un cookie fals și îl trimite înapoi la server. În momentul în care serverul acceptă sesiunea, se declanșează o vulnerabilitate de deserializare Pickle, permițând rularea de cod arbitrar pe server.
Toate cele șapte domenii de documentație Google rulează pe aceeași bază de cod Flask. Din cauza logicii comune de gestionare a cookie‑urilor, aceeași problemă se propagate peste toate site‑urile. Un singur exploit poate compromite simultan toate domeniile.
De ce șapte domenii?
Care a fost cauza principală?
Secretul de semnare era inclus în cookie, permițând extragerea și falsificarea fără brute‑force.
Secretul de semnare ascuns în cookie‑ul de sesiune: cum se sparge securitatea
Câte domenii au fost afectate?
Șapte domenii, toate bazate pe același cod Flask.
Ce măsuri se iau?
Care a fost impactul?
Execuție de cod la distanță: atacatorul putea autentifica sesiuni false și rula orice cod pe server.
Google a actualizat codul pentru a stoca secretul doar pe server și a implementat verificări suplimentare de integritate a cookie‑ului. Utilizatorii sunt îndemnați să actualizeze aplicațiile și să monitorizeze traficul pentru semne de compromitere.
Ce înseamnă asta pentru dezvoltatori?
Este un reminder că secretul de semnare nu trebuie să fie expus în cookie. Folosirea unor mecanisme de semnare sigure și stocarea secretelor pe server este esențială pentru a preveni atacurile de tip RCE.
Această breșă subliniază importanța unei gestionări riguroase a sesiunilor și a secretelor în aplicațiile web. Google a reacționat rapid, iar dezvoltatorii trebuie să revizuiască politicile de securitate pentru a evita astfel de vulnerabilități în viitor.