Google виправила критичну помилку безпеки

Script, якій бракувало сучасних засобів захисту від зловживань.

Уразливість виявив дослідник безпеки Brute.

Cat, той самий, який у лютому продемонстрував, що можна розкрити приватні адреси електронної пошти облікових записів You.

Cat повідомив Bleeping.

Cat виявив, що може отримати доступ до застарілої форми відновлення імені користувача без Java.

Script, яка, схоже, працювала належним чином.

Дослідник обійшов елементарні засоби захисту, що обмежують швидкість, у формі, використовуючи ротацію IPv6-адрес для генерації трильйонів унікальних вихідних IP-адрес через підмережі /64 для цих запитів.

CAPTCHA, що відображалися багатьма запитами, обходили шляхом заміни параметра ‘bgresponse=js_disabled’ дійсним токеном Bot.

Guard з форми з увімкненим JS.

Використовуючи цю техніку, Brute.

Cat розробив інструмент для перебору даних (gpb), який перебирає діапазони чисел, використовуючи формати, специфічні для кожної країни, та фільтрує хибнопозитивні результати.

Guard через Chrome без headless-автоматизації.

При швидкості перебору даних методом повного перебору 40 000 запитів на секунду, отримання даних з США займе близько 20 хвилин, з Великої Британії – 4 хвилини, а з Нідерландів – менше 15 секунд.

Це теж варте вашої уваги - Хакерська спільнота повідомила про успіхи зі злому Nintendo Switch 2.

Час для перебору номерів телефонів.

Cat виявив, що може отримати його, створивши документ Looker Studio та передавши право власності на адресу Gmail цілі.

Озброївшись цією електронною адресою, вони могли виконувати повторні запити, щоб визначити всі номери телефонів, пов’язані з іменем профілю.

Однак, оскільки можуть існувати тисячі облікових записів з однаковим іменем профілю, дослідник звузив його, використовуючи частковий номер цільової групи.

«Цей час також можна значно скоротити за допомогою підказок щодо номерів телефонів із процесів скидання пароля в інших сервісах, таких як Pay.

Pal, які надають кілька додаткових цифр (наприклад, +14•••••1779)», пояснює Brute.

Демонстрацію використання цієї недосконалості можна побачити на відео нижче.

Виправлено помилку.

Вектор атаки більше не можна використовувати, але чи використовувався він коли-небудь зловмисно, залишається невідомим.

Це теж варте вашої уваги - Хакер зламав 5000 хостинг-акаунтів для майнінгу криптовалюти.