El investigador de seguridad de redes Brutecat descubrió dos vulnerabilidades de seguridad en el sitio web de vídeos YouTube de Google. Aunque Google promete proteger la privacidad del usuario, siempre que las dos vulnerabilidades estén conectadas en serie, es posible obtener directamente la dirección de correo electrónico real de Gmail del creador del canal de YouTube.
Con una dirección de correo electrónico de Gmail, también puedes hacerte pasar por Google o YouTube ante los creadores de phishing, lo que causará más problemas de seguridad, como el robo de grandes cuentas de canales de YouTube y la publicación de sitios web de phishing.
Inicialmente, los investigadores que analizaban la API People de Google descubrieron que una función que permite bloquear a los usuarios de YouTube se basaba en oscuros GaiaID, el sistema de gestión de ID para todos los productos de Google.
Según las instrucciones de la página de soporte de Google, el bloqueo de alguien en YouTube se extenderá automáticamente a otros productos de Google, lo que significa que cuando un usuario realiza una operación de bloqueo, no se bloquea la cuenta de YouTube de la otra persona, sino GaiaID.
Ha habido varios errores al analizar GaiaID en direcciones de correo electrónico en el pasado, y los investigadores creen que esta vulnerabilidad aún puede existir en algunos productos de Google más antiguos y menos conocidos.
La verificación posterior demostró que los investigadores tenían razón. Los investigadores encontraron un enlace en la versión en línea de GooglePixelRecorder (la grabadora de voz que viene con los dispositivos Google Pixel). Al compartir la grabación de la versión web de PixelRecorder con GaiaID y verificar la solicitud web, la dirección de correo electrónico del objetivo quedó expuesta.
Normalmente, realizar dicha operación activará el envío de una notificación de uso compartido al usuario objetivo (como una notificación de uso compartido de grabación).Pero los investigadores utilizaron un script de Python para asignar un nombre de archivo de grabación extremadamente largo (el nombre del archivo tenía 2,5 millones de caracteres)., este nombre de archivo hace que Google no envíe notificaciones de uso compartido a los usuarios de destino.
Después de determinar que la vulnerabilidad podía explotarse, el investigador informó de la vulnerabilidad a Google, que posteriormente fue confirmada por Google. Google asignó una recompensa por vulnerabilidad de 3.133 dólares al investigador. Sin embargo, después de una cuidadosa consideración, Google consideró que era probable que se explotara la vulnerabilidad, por lo que reevaluó el nivel de peligro y otorgó 7.500 dólares adicionales, lo que significa que la recompensa acumulada del investigador fue de 10.633 dólares.
Actualmente, Google ha solucionado esta vulnerabilidad. Por supuesto, si no se soluciona, los investigadores no revelarán los detalles de la vulnerabilidad anterior.