Circa un anno fa, per la precisione il 13 maggio 2009, postai sul blog questo articolo (il video è corrotto, quello fixato lo troverete qui sotto), nel quale dimostravo senza alcuna ombra di dubbio come Google, attraverso il sistema di pubblicazione dei widgets, fosse estremamente vulnerabile ad attacchi di tipo XSS, CSRF e quant’altro si possa fare potendo eseguire codice javascript nella pagina stessa di Google.
Ebbene, è passato più di un anno, Google sicuramente avrà subito tantissimi cambiamenti sia a livello grafico che a livello di funzionalità, eppure questo problema non è ancora stato patchato.
Qui di seguito trovate il mio video, chiedo scusa per la bassa qualità ma quello originale è stato danneggiato tra un backup e l’altro, così il meglio che ho potuto fare è stato scaricarne la versione mp4 da youtube, dove un ragazzo che non conosco ha postato lo stesso video in bassa definizione.
Hacking Google 13 May 2009 from evilsocket on Vimeo.
Poi, qualche tempo fa, mi sono imbattuto in un altro video, postato su Vimeo da Emanuele Gentili, il quale mostra sostanzialmente la stessa vulnerabilità.
Il buon emgent, noto per la sua politica di responsible disclousure, ha immediatamente scritto al team tecnico di Google … e cosa gli hanno risposto ?
Si, è vero, è un bug, ma non sappiamo come patchare.. hai qualche suggerimento?
Perfetto, non solo in più di un anno non è cambiato nulla, non solo questa vulnerabilità potrebbe essere sfruttata in scenari praticamente infiniti, ma lo staff di Google si permette anche di rispondere così!
Che dire … bah! -.-
Popularity: 14% [?]
Ti potrebbe interessare:
- Google Hacking Un video proof of concept nel quale mostro come anche...
- Google : 0, Io : 1 Chi ha letto questo post, sa che già da un...
- Hybris memory lookup, now Google powered!!! No, non ho inserito un motore di ricerca dentro Hybris...
- Javascript Encoder Utility che codifica del javascript in una forma “non filtrabile”...
- V4L e WebCam – Esempio di implementazione Per chi si vuole cimentare nell’interfacciare una webcam ad un...
Github
Identi.ca
Twitter
Last.fm
LinkedIn
Google Reader
Rispondi … FAIL !
Uhm? Non ho capito la frase …
Mh risposta simile a quella data da Apple per l'iphone 4 sul problema della caduta del segnale se si prendeva il telefono con la mano sinistra. In pratica hanno risposto che ogni di noi teneva in modo errato il telefono.. risposta del ca$$o!!
Si sostanzialmente quello è il significato -.-
ahahah evil mandagli una mail e chiedigli quanto ti danno per pacharlo
Ho tanto di meglio da fare XD
Cose da pazzi xD
hahahhaah non ci credo xD.. ma hanno contattato lo staff di google italia o di google casa madre??
Uhm “hanno” chi ?
Cmq credo che le email cmq vengano in ogni caso indirizzate in base alla nazionalità di provenienza.
intendevo emgent..
ah capito…
emgent non so a chi ha scritto esattamente, io a suo tempo scrissi alla prima email di un presunto “staff tecnico” che trovai
babba bia che bello staff xDxD.. so che l'italia ha un suo “centro”, una specie di filiale di Google.. magari provando a scrivere allo staff americano (su google.com e non .it) possono risolvere il problema.. e se neanche loro possono.. mi cadono veramente le braccia :S
Credo che il vero problema nella soluzione di questo bug è che dovrebbero avere uno staff che controlla qualsiasi widget viene inviato prima di pubblicarlo, una cosa del genere comporterebbe costi, se bene abbordabili per loro, comunque abbastanza ingenti.
vero.. ma non penso che quelli della google muoiano proprio di fame xD..
no, ma ci sono politiche aziendali che evidentemente mettono al primo posto la spesa e poi la sicurezza del cliente … come avviene nel 99% delle società.
wow che bella notizia… xD
Non si vede una mazza