Хакер Эндрю Кантино (Andrew Cantino), приняв участие в программе BugBounty от компании Google, отыскал баг, информацию о котором IT-гигант разрешил опубликовать в Сети.
Несмотря на то, что баг актуален до сих пор, Google отказался выплачивать вознаграждение, не посчитав его опасным. Поэтому Эндрю Кантино с чистой совестью выложил его в Интернет.
Ошибка позволяет атакующему компьютер хакеру определить, есть ли у пользователя доступ к конкретному документу Google Drive. Иными словами, уязвимость позволяет распознать одного человека среди всех анонимных посетителей.
Атака осуществляется просто: на Google Drive публикуется любой документ с доступом для просмотра пользователю с известным адресом электронной почты. При этом следует убрать галочку с пункта рассылки уведомлений на указанные электронные адреса.
Когда пользователь перейдёт по ссылке на эту страницу, результатом выполнения запроса станет ответ onerror. Если документ доступен для пользователя, то ответ onerror придёт позже.
Разница в скорости загрузки страницы составляет примерно 0,6 с против 0,9 с – благодаря этому нужный пользователь распознаётся довольно легко. Подобные методы подходят для проведения направленных атак против конкретных людей.
При этом Google объяснила, что не будет закрывать уязвимость, поскольку она не представляет собой большой опасности. Кроме того, у Google нет действенного метода, чтобы устранить баг.
Кстати, депутат Госумы РФ Евгений Федоров готовит обращение в МВД и Генеральную прокуратуру с просьбой проверить деятельность корпорации Google.