- PVSM.RU - https://www.pvsm.ru -

Хакеры получили $10,000 за взлом Google

Команда исследователей безопасности Detectify [1], обнаружила серьезную уязвимость на сервере Google.
В основу для взлома легла уже давно известная уязвимость XXE [2] (XML External Entity Processing).

image

Данная «дырка» позволяет внедрять внешние сущности, например для загрузки отдельных частей файла, однако, если хакер может внедрить произвольный участок кода в схему, это может привести к серьезным последствиям, например, чтению произвольного файла на сервере.

Всему виной являлся один из сервисов Google, а именно Toolbar Button Gallery. Исследователи обнаружили [3], что для удобства настройки тулбара, разрешена загрузка XML файла с пользовательскими настройками. Внедрив специальный участок кода в файл и загрузив его на сервер, хакеры получили нужные данные, XXE сработала.

image

Безопасники ограничились лишь демонстрацией уязвимости в виде чтения файлов /etc/passwd и /etc/hosts, но на этом возможности уязвимости не ограничиваются. Например, с помощью XXE можно было добиться отказа в обслуживании, SSRF, а также, при нужном подходе, выполнения произвольного кода на целевом сервере.

Автор: akamajoris

Источник [4]


Сайт-источник PVSM.RU: https://www.pvsm.ru

Путь до страницы источника: https://www.pvsm.ru/informatsionnaya-bezopasnost/58816

Ссылки в тексте:

[1] Detectify: https://detectify.com/

[2] XXE: https://www.owasp.org/index.php/XML_External_Entity_%28XXE%29_Processing

[3] Исследователи обнаружили: http://blog.detectify.com/post/82370846588/how-we-got-read-access-on-googles-production-servers

[4] Источник: http://habrahabr.ru/post/219125/