Lỗ hổng tiết lộ tài liệu cá nhân trong Google Docs

[WhiteHat News #ID:2017]

Google đã vá một lỗ hổng trong công cụ feedback được tích hợp trong các dịch vụ của hãng này, có thể bị tin tặc khai thác để đánh cắp ảnh chụp màn hình của tài liệu Google Docs chứa thông tin nhạy cảm.

Lỗ hổng được phát hiện vào ngày 9/7 bởi nhà nghiên cứu bảo mật Sreeram KL. Chuyên gia này đã được Google trao thưởng 3.133 USD.

Nhiều sản phẩm của Google, trong đó có Google Docs, đi kèm với tùy chọn "Gửi phản hồi" hoặc "Hỗ trợ cải thiện Docs" cho phép người dùng gửi phản hồi cùng với ảnh chụp màn hình.

Nhưng thay được tích hợp trên các dịch vụ, tính năng này được triển khai trên trang web chính của Google (www.google.com) và tích hợp vào các domain khác thông qua iframe có chức năng tải nội dung pop-up từ feedback.googleusercontent.com.

Điều này cũng có nghĩa là bất cứ khi nào ảnh chụp màn hình của Google Docs được đưa vào, việc hiển thị hình ảnh yêu cầu phải truyền các giá trị RGB của mỗi pixel tới miền mẹ (www.google.com), sau đó chuyển hướng các giá trị RGB đến miền phản hồi và cuối cùng tạo hình ảnh và gửi lại ở định dạng được mã hóa Base64.

Tuy nhiên, chuyên gia Sreeram đã phát hiện một lỗ hổng trong cách các thông báo này được chuyển tới trang feedback.googleusercontent.com, có thể cho phép kẻ tấn công sửa đổi khung (frame) thành một trang web bên ngoài, từ đó đánh cắp các ảnh chụp màn hình Google Docs đáng lẽ phải được tải lên máy chủ của Google.

Đáng chú ý, lỗ hổng bắt nguồn từ việc thiếu header X-Frame-Options trong miền Google Docs. Điều này có thể làm thay đổi nguồn gốc target của thông báo cũng như tạo điều kiện khai thác việc giao tiếp cross-origin giữa trang và khung chứa trong đó.

Mặc dù cần sự tương tác của người dùng, cụ thể là nạn nhân nhấp vào nút "Gửi phản hồi", kẻ tấn công có thể dễ dàng lợi dụng điểm yếu này để lấy được URL của ảnh chụp màn hình đã tải lên và chuyển nó đến một trang web độc hại.

Có thể thực hiện điều này bằng cách nhúng một tệp Google Docs vào iFrame trên trang web giả mạo và chiếm quyền điều khiển khung pop-up phản hồi để chuyển hướng nội dung đến miền kẻ tấn công lựa chọn.

Việc không thể cung cấp nguồn gốc target làm gia tăng mối lo ngại về bảo mật khi dữ liệu được gửi đến bất kỳ trang web nào có thể bị tiết lộ.

Theo The Hacker News​