Google OAuth sérülékenység
A Truffle Security jelentése szerint egy Google OAuth hitelesítési hiányosság miatt több millió felhasználói fiók válhat sebezhetővé.
A támadók megvásárolhatják megszűnt vállalkozások korábbi domain neveit, majd újra létrehozhatják az egykori alkalmazottak e-mail címeit. Ezekkel az újonnan létrehozott e-mail címekkel a támadók hozzáférhetnek olyan szolgáltatásokhoz, amelyek a Bejelentkezés Google-lal funkciót használják, például Slack, Zoom, Notion és mások.
A Google OAuth jelenlegi implementációja nem biztosít állandó, egyedi azonosítókat a felhasználók és a domain-ek számára, ami lehetővé teszi, hogy a domain tulajdonjogának változása esetén a támadók hozzáférjenek a korábbi alkalmazottak fiókjaihoz. Különösen veszélyeztetettek azok, akik korábban olyan startupoknál dolgoztak, amelyek azóta megszűntek, és Google Workspace-t használtak.
A jelentés benyújtása után a Google először a nem javítandó kategóriába sorolta az ügyet, és csalásnak vagy visszaélésnek minősítette, nem pedig hitelesítési problémának, azonban három hónappal később, a Shmoocon konferencián tartott előadás elfogadása után a Google újra megnyitotta a jegyet, 1337 dolláros jutalmat fizetett, és jelezte, hogy dolgoznak a probléma megoldásán.