Компания Google исправила ошибку в своем встроенном инструменте обратной связи, которая могла быть использована злоумышленником для потенциальной кражи скриншотов конфиденциальных документов Google Docs путем простого встраивания этой легальной службы во вредоносный веб-сайт.
Дефект был обнаружен 9 июля исследователем в области безопасности Sreeram KL, за что он получил $3133.70 в рамках программы Google Vulnerability Reward Program.
Многие продукты Google, включая Google Docs, поставляются с опцией «Отправить отзыв» или «Помогите улучшить сервис», которая позволяет пользователям отправлять отзывы вместе с опцией «Снимок экрана» - для подробного описания проблем.
Но вместо того, чтобы дублировать одну и ту же функциональность во всех службах, функция обратной связи развернута на главном сайте Google («www.google.com») и интегрирована в другие домены через элемент iframe, который загружает контент всплывающего окна с «feedback.googleusercontent.com».
.jpg)
Это означает что всякий раз, когда добавлен скриншот окна Google Docs, отрисовка изображения требует передачи RGB-значения каждого пикселя в родительский домен (www.google.com), который затем перенаправляет эти RGB-значения в домен обратной связи, который, в конечном итоге, конструирует изображение и отсылает его обратно в Base64-кодированном формате.
Sreeram, однако, обнаружил ошибку в способе передачи этих сообщений на «feedback.googleusercontent.com», что позволяло модифицировать фрейм на произвольный внешний сайт, и, в свою очередь, украсть скриншоты Google Docs, которые должны были быть загружены на серверы Google.
Примечательно, что недостаток связан с отсутствием заголовка X-Frame-Options в домене Google Docs, что позволило изменить происхождение сообщения и использовать перекрестное взаимодействие между страницей и содержащимся в ней фреймом.
В то время как атака требует некоторого взаимодействия с пользователем, например, нажатия кнопки «Отправить отзыв», эксплойт может легко использовать эту уязвимость чтобы захватить URL загруженного скриншота и отправить его на сайт атакующего.
Этого можно добиться путем встраивания файла Google Docs в iFrame на мошенническом сайте и перехвата всплывающего фрейма обратной связи для перенаправления содержимого на выбранный злоумышленником домен.
Неспособность определить происхождение при перекрестном общении вызывает опасения в отношении безопасности, так как раскрывает данные, которые отправляются на любой веб-сайт.
«Всегда указывайте точное происхождение цели, а не *, когда Вы используете PostMessage для отправки данных в другие окна», - говорится в документации Mozilla. «Вредоносный сайт может изменить местоположение окна без вашего ведома, поэтому он может перехватить данные, отправленные с помощью PostMessage».
Перевод сделан со статьи: https://thehackernews.com
