Un étudiant gagne plus de 36 000 $ après avoir rapporté une vulnérabilité critique à Google
Pouvant entraîner une exécution de code à distance

41PARTAGES

9  0 
Ezequiel Pereira, un étudiant d'Uruguay de 18 ans, a gagné plus de 36 000 dollars auprès de Google après avoir découvert une vulnérabilité critique pouvant entraîner une exécution de code à distance dans Google App Engine.

Partie intégrante de l'offre Google Cloud, App Engine est un framework qui permet aux utilisateurs de développer et d'héberger des applications Web sur une plateforme sans serveur entièrement gérée.

« Il y a quelque temps, j'ai remarqué que chaque application Google App Engine (GAE) répondait à toutes les requêtes HTTP avec un en-tête "X-Cloud-Trace-Context", donc je supposais que tout site Web retournant cet en-tête fonctionnait probablement sur GAE. Grâce à cela, j'ai appris que "appengine.google.com" fonctionnait lui-même sur GAE. Pourtant, il peut effectuer certaines actions qui ne peuvent pas être effectuées ailleurs tandis que les applications utilisateur communes ne peuvent pas faire de même. Alors j'ai essayé de découvrir comment cela se faisait ».

L’étudiant s’est dit que "appengine.google.com” devait utiliser une API unique, ou alors un autre moyen. Et c’est cet évènement qui a marqué le début de ses recherches.

Durant le processus, en février, il a réussi à accéder à un environnement de développement Google App Engine hors production. Une fois qu'il a obtenu l'accès, il a découvert qu'il pouvait utiliser certaines API internes de Google.

À ce moment, Pereira n'a remarqué aucun appel de l’API qu’il pouvait considérer comme étant dangereux. Toutefois, le 25 février 2018, il a fait un rapport à Google et sa vulnérabilité a reçu une cote de priorité P1, ce qui indique que le problème doit être résolu rapidement car il peut affecter un grand pourcentage d'utilisateurs. .

Après ce rapport initial, il a décidé d’aller plus en profondeur dans ses recherches. Pour se faire, il a parcouru à nouveau ses notes à la recherche d’une variation qui pouvait être utilisée pour mener à bien une attaque. C’est ainsi que, le 4 mars 2018, il a remarqué une autre API cachée dans les arguments qu’il a obtenu du lanceur binaire Java qui était appelée "app_config_service”.

« Le "app_config_service" dispose de plusieurs méthodes intéressantes, mais les méthodes les plus intéressantes pour moi étaient les méthodes "app_config_service.ConfigApp" et "app_config_service.SetAdminConfig", car elles m'ont permis de définir des paramètres internes tels que les expéditeurs autorisés, le service de l'application Identifiant du compte, ignorer les restrictions de quota, et définir mon application comme une "SuperApp" (je ne sais pas ce que cela signifie, mais ça a l’air délirant) et lui donner accès à "FILE_GOOGLE3_ACCESS” », a-t-il expliqué.

Il est également tombé sur d’autres API et méthodes et il a fait un second rapport à Google le 5 mars 2018. Dans le courriel qu’il a reçu en retour le lendemain, son interlocuteur l’a d’abord remercié, lui a notifié que la sévérité du bogue a été augmenté et lui a signifié qu’il fallait qu’il arrête ses tests car il pourrait « facilement casser quelque chose en utilisant ces API internes ». Son interlocuteur lui a signifié que ce qu’il aurait pu faire de cet accès serait pris en compte au moment de la récompense.


Le verdict de Google est tombé le 13 mars 2018. Après sa propre analyse, l’éditeur a estimé que ces failles de sécurité auraient pu être exploités pour l'exécution de code à distance « en raison de la façon dont Google fonctionne ».

Aussi, Google a accordé au chercheur un total de 36 337 $ pour ses découvertes, dont 5 000 $ pour un problème moins grave. Le premier rapport a été envoyé à l’entreprise le 25 février, un correctif a été déployé entre le 6 mars et le 13 mars, a indiqué Pereira, qui a pris la peine de donner des détails sur ses découvertes mais également sur ses interactions avec Google.

Il faut préciser que ce n'est pas la première fois que Pereira découvre une faille dans les services Google. Au cours de ces dernières années, il a pu gagné plus de 10 000 dollars grâce au Bug Bounty de Google.

Il arrive que des chercheurs poussent leurs tests lorsque les fournisseurs semblent ne pas prendre en compte l’impact potentiel d’une vulnérabilité. Cependant, au moins dans le cas de Pereira, Google semble avoir calculé les paiements de primes de bogues en fonction de l'impact potentiel total.

En janvier, Google a attribué 112 500 $ à un chasseur de primes pour la divulgation d'une chaîne d'exploitation qui pourrait être utilisée pour compromettre les appareils mobiles Pixel.

Source : billet de l'étudiant

Et vous ?

Que pensez-vous de ce type de programmes ?
Contribuent-ils à rendre les plateformes plus sécurisées ?
Quelle alternative possible pour les PME qui pourraient ne pas disposer d'une trésorerie suffisante pour récompenser ce type d'efforts ?

Voir aussi :

Une vulnérabilité permettant l'exécution de code à distance a été découverte dans le framework Electron, mais elle peut être corrigée manuellement
Les éditeurs de systèmes d'exploitation corrigent une vulnérabilité kernel due à une mauvaise implémentation d'un mécanisme de débogage pour les x86
Kitty : un malware qui cible les sites web Drupal pour le minage de cryptomonnaie, en exploitant une vulnérabilité du système de gestion de contenu
Des chercheurs révèlent de nouveaux défauts de fabrication dans les CPU, une nouvelle génération de vulnérabilités Spectre et Meltdown ?
Des chercheurs découvrent une vulnérabilité dans des véhicules de Volkswagen et sa filiale Audi, qui permet de lancer des attaques à distance

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de marsupial
Membre expert https://www.developpez.com
Le 22/05/2018 à 17:07
Je ne connais pas le niveau de vie en Uruguay mais il doit être bien plus bas que le notre. Plus de 36 000 $, cela doit faire un paquet de salaires de base là-bas Au moins, Google a été cool et ne l'a pas traité comme un pirate comme le font beaucoup d'organismes. A 18 ans, cela lui promet un bel avenir.
Avatar de Keyla45
Futur Membre du Club https://www.developpez.com
Le 22/05/2018 à 17:08
Je veux que ça m'arrive, mon Dieu
Avatar de SofEvans
Membre chevronné https://www.developpez.com
Le 22/05/2018 à 21:31
Citation Envoyé par Keyla45 Voir le message
Je veux que ça m'arrive, mon Dieu
Beeeen, tu sais ce qu'il te reste à faire. Parce que après tout, ce n'est pas quelque chose qui "t'arrive", c'est quelque chose que tu vas "faire en sorte que ça arrive".

That's the difference between "One day ..." and "Day One ...".

 
Contacter le responsable de la rubrique Accueil

Partenaire : Hébergement Web