Security Week 2351: фантомные корпоративные учетки в экосистеме Google

На прошлой неделе исследователь Дилан Эйри из команды Truffle Security обнародовал детали уязвимости в протоколе OAuth компании Google. Ошибка в логике системы авторизации угрожает прежде всего компаниям, которые используют для совместной работы инфраструктуру Google Workspace. Дилан описывает теоретическую ситуацию, в которой сотрудник такой организации создает «фантомную» учетную запись в Google, которую затем использует для доступа по протоколу OAuth к другим внутренним сервисам. Так как учетка не была создана администратором корпоративного домена, то и удалена она быть не может. А значит — есть возможность сохранения доступа к приватной информации даже после увольнения сотрудника и деактивации его основной учетной записи.



Разбирать эту атаку проще, разбив ее на этапы. Прежде всего Дилан Эйри зафиксировал тот факт, что создать учетную запись в экосистеме Google можно с любым адресом электронной почты, в любом домене. На такую почту придет письмо с просьбой подтвердить создание аккаунта. Если у вас есть доступ к этому письму, вы получите новую учетку Google. Одновременно вы получаете возможность регистрироваться и авторизоваться на любых других сервисах по протоколу OAuth, выбирая опцию Sign-in with Google. Далее идет самый важный элемент теоретической атаки: учетку Google можно создать на адрес вида login+(какая-то последовательность символов)domain.com. Письма, отправленные на такой адрес-псевдоним, будут приходить на основную почту login@domain.com. Если вы имеете доступ к этому почтовому ящику, вы без труда сможете подтвердить создание новой учетной записи Google.
Читать дальше →

Источник: Хабрахабр