[Contribution] Google : Multiples faiblesses de sécurité
Plusieurs vulnérabilités et faiblesses de sécurité ont été découvertes sur des projets et outils en-ligne proposés par Google, par des collaborateurs SYNETIS
Google dispose d’un programme de Bug Bounty depuis de nombreuses années (novembre 2010).
Offrant des récompenses aux chercheurs décelant des faiblesses de sécurité dans les services et outils proposés, Google est depuis longtemps éprouvé continuellement en termes de sécurité par des experts en sécurité de part le monde.
C’est dans ce contexte que deux collaborateurs de SYNETIS ont pu découvrir plusieurs faiblesses de sécurité dans des outils tiers conçus et maintenus par les équipes de Google (rattachés à Chrome). Plusieurs de ces outils, disponibles en libre service et open-source, étaient également exposés en-ligne sous forme de “démonstration” ou d’outil online sur des serveurs de Google.
Ces outils disposaient de plusieurs faiblesses de type SSRF pour Server-Side Request Forgery. Autrement dit, il était possible de manipuler les requêtes légitimes à destination de ces outils pour leur faire réaliser des requêtes arbitraires depuis les serveurs eux-mêmes.
En conséquence, les requêtes émanant des serveurs eux-mêmes, étaient capables d’interroger les API uniquement accessibles depuis le réseau interne de Google, ou encore de faire fuiter des fichiers locaux des serveurs hébergeant ces applications (/etc/passwd et même le /etc/shadow, indiquant le niveau de privilège dont disposaient certaines applications).
Bien heureusement, les environnements de démonstration étaient, selon Google, sandboxés, amoindrissant la criticité des vulnérabilités SSRF.
Deux collaborateurs de SYNETIS ont donc contribué à améliorer la sécurité de ces outils Google, notamment au travers de leur programme de responsible disclosure / Bug Bounty.
Des faiblesses de sécurité corrigées
Après quelques jours et plusieurs échanges, les équipes de Google ont corrigé et mitigé ces faiblesses de sécurité.
Le Hall of Fame de Google ainsi que les Honorable mentions comportent à présent les noms des collaborateurs SYNETIS ayant réalisé cette contribution.
Nous saluons les équipes de Google pour les divers échanges, leur amabilité et leur efficacité dans la résolution des problèmes relatifs à la sécurité de leurs produits et services.
Sources & ressources :
