Google-ın DevSite zəifliyini düzəltmək üçün iki ay lazımdı, bu zəiflik avtorizasiya olmadan kod icrasına imkan verirdi

Yenidən istifadə edilən gizli açar uzaqdan kod icrasına çevrildi

Google, developers.google.com və bir neçə digər sənəd saytının işlədiyi platforma olan DevSite-də avtorizasiya olmadan uzaqdan kod icrasının (RCE) zəifliyini düzəltdi. Google-a S0, ağıllıq şkalasının ən yüksək səviyyəsini verən bu xətanı Otark GmbH-nin proqram mühəndisi Simon Köck aşkar etdi.

Səbəb yenidən istifadə olunan OAuth müştərinin gizli açarı idi. DevSite Flask sessiya kukisində Google-in oauth2client kitabxanasının serializasiya olunmuş OAuth2WebServerFlow obyektini saxlayırdı, şirkət bunu google-auth üçün tərk etmişdi və bununla açar açıqlanmışdı. Google eyni açarı DevSite sessiyasının imzalanması üçün istifadə edirdi, Köck kukini imzalamaq üçün offline çoxaltma yolu ilə bunu təsdiq etdi.

Saxtalaşdırılmış sessiyalar yeddi domenə qədər qəbul olunurdu

Köck saxtalaşdırılmış sessiyaların bütün yeddi zərərli domenə tətbiq olunduğunu təsdiq etdi, bu domenlər iki fərqli imza açarından asılı idi. O, üç domendə kod icrasını nümayiş etdirdi: developers.google.com, docs.partner.android.com və web.dev. Avtorizasiya olmadan RCE-ni Python sleep payload ilə yoxladı və cavab gecikmələrini ölçdü, lakin əmrlərin işə salınması və fayllara, məlumatlara və ya daxili xidmətlərə girişdən çəkinirdi.

"Bunu xüsusilə ciddi RCE adlandırdım, çünki hər kəs hesab və qurbanın qarışması olmadan bunun üçün imkan tapır", — deyir Köck The New Stack-ə.

Google 90 000 dollar mükafat ödədi: 75 000 dollar şirkətinadi tətbiqi standart səviyyəsi saydığı S0 səviyyəli RCE üçün, 1,2-yə vurulmuş xüsusi ağıllıq hesabına əlavə olaraq.

Zənciri Pickle deserializasiyası tamamladı

OAuth callback sessiya məlumatlarının deserializasiyası üçün Python pickle istifadə edirdi. Köck flow obyektini zərərli pickle payload ilə əvəz etdi, saxtalaşdırılmış kuki əl ilə imzaladı və callback-i ona görə icra etdirtdi. Zəncir üçün üç səhv ardıcıllığı lazım idi: kukidə açıqlanan açar, eyni açarın imza açarı üçün iki dəfə yüklənməsi və sessiya məlumatlarının təhlükəsiz olmayan deserializasiyası. Hər hansı birinin düzəldilməsi zənciri qırardı.

İki ay düzəltməyə, cavab verilməyən suallar qalır

Köck zəifliyi 6 avqustda bildirdi, Google isə onu ikinci gün qəbul etdi. Mükafat 27 avqustdə təsdiqləndi, düzəltmə isə yalnız 7 oktyabrda həyata keçirildi. Google iki aylığı aşdırmağı, müvəqqəti yumşaldıcı tədbirlərin həyata keçirilib-keçirilməməsini və iki açıqlanmış OAuth müştərinin gizli açarlarından birinin yenilənib-yenilənməməsini və mövcud sessiyaların ləğv olunub-olunmadığını izah etmədi. Köck, forenzik nəticə heç vaxt almadığını və Google-dan düzəltməyədək istismar sübutu tapıb-tapmadığını bilmədiyini söyləyir. Bu yeniləmə üçün Google şərh sorğusuna cavab vermədi.

@brutecat adı ilə fəaliyyət göstərən və öz hesabına 130-dan çox Google zəifliyini bildirən sinqaporeli araşdırmacı Arvin Shivram App Engine-daxili tətbiqlərin tez-tez Google-un daxili xidmətlərarası rabitə sistemi olan Stubby-yə girişi olduğunu qeyd edir. Köck bu girişin "təsirin əhəyyətli hissəsi ola biləcəyini" qəbul edir, lakin bu konkret DevSite prosesinə nə ilə çatıla biləcəyini yoxlamayıb. O, sənəd məzmununa yazma imkanını da yoxlamayıb, burada dəyişdirilmiş quraşdırma əmrləri və ya endirmə linkləri təchizat zəncirinə hücum səbəb ola bilərdi. Ona görə, nümayiş edilən təsir üç hostda kod icrası və yeddidə alınan saxtalaşdırılmış sessiyadır, tam təsirə sahəsi isə, onların içində Google-un daxili xidmətlərinə gedən yollar, sübutsuz qalır.

Mənbələr: Thenewstack