محققان امنیت سایبری از Hunters گفتند که آنها یک “نقص طراحی شدید” را در ویژگی قدرتمند Google Workspace کشف کردند.
با این حال، گوگل این یافته ها را کم اهمیت جلوه داد و گفت که هیچ مشکل اساسی وجود ندارد و این فقط این است که هر شرکتی از خود محافظت کند. نقاط پایانی با ابزاری که در اختیار دارد.
همانطور که توسط اخبار هکرهامحققان نقصی را در ویژگی Delegation (DWD) کشف کردند که ادعا می‌شود هکرها می‌توانند از آن برای افزایش امتیازات و دسترسی به APIهای Workspace بدون امتیازات فوق‌العاده سوء استفاده کنند.
پیشنهاد خواننده: گیفت کارت آمازون ۵۰ دلاری با نسخه نمایشی محافظت از بدافزار Perimeter 81 تهدیدها را در مرحله تحویل رهگیری می کند تا از بدافزارهای شناخته شده، حملات چند شکلی، سوء استفاده های روز صفر و موارد دیگر جلوگیری کند. به افراد خود اجازه دهید آزادانه از وب بدون به خطر انداختن امنیت داده و شبکه استفاده کنند.
شریک ترجیحیاین یعنی چی؟)
گوگل می گوید هیچ مشکل اساسی وجود ندارد
تفویض اختیار در دامنه دامنه به برنامه‌های شخص ثالث و همچنین برنامه‌های داخلی اجازه می‌دهد به داده‌های کاربر در محیط Google Workspace دسترسی داشته باشند. محققان گفتند که این ویژگی دارای نقص است زیرا پیکربندی تفویض دامنه توسط شناسه منبع حساب سرویس (OAuth ID) به جای کلیدهای خصوصی مرتبط با شی هویت حساب سرویس تعیین می شود.
محققان می‌گویند: «چنین بهره‌برداری می‌تواند منجر به سرقت ایمیل‌ها از Gmail، استخراج داده‌ها از Google Drive یا سایر اقدامات غیرمجاز در APIهای Google Workspace بر روی همه هویت‌ها در دامنه هدف شود. این آسیب پذیری DeleFriend نام داشت.
این به بازیگران تهدید با امتیازات پایین اجازه می‌دهد تا چندین توکن وب JSON (JWT) متشکل از حوزه‌های مختلف OAuth ایجاد کنند، با هدف مشخص کردن ترکیبات موفقیت‌آمیز جفت کلید خصوصی و محدوده OAuth مجاز که نشان می‌دهد حساب سرویس دارای تفویض دامنه فعال است. “
در نتیجه، عوامل تهدید می‌توانند داده‌های Gmail، Google Drive و دیگران را سرقت کنند. محققان همچنین یک اثبات مفهوم (PoC) ایجاد کردند تا نشان دهند چگونه می توان از این نقص سوء استفاده کرد.
یوناتان خاناشویلی، محقق امنیتی Hunters، گفت: «عواقب احتمالی عوامل مخرب سوء استفاده از تفویض اختیارات گسترده دامنه شدید است. «به جای تأثیرگذاری بر یک هویت واحد، مانند رضایت فردی OAuth، بهره‌برداری از DWD با تفویض اختیار موجود می‌تواند بر هر هویتی در دامنه Workspace تأثیر بگذارد.
اما گوگل هیچ کدام از آن را ندارد. او به این نشریه گفت: «این گزارش یک مشکل امنیتی اساسی در محصولات ما را شناسایی نمی کند. “به عنوان بهترین روش، ما کاربران را تشویق می کنیم که مطمئن شوند همه حساب ها از حداقل امتیاز ممکن برخوردار هستند (به راهنمایی مراجعه کنید اینجا). انجام این کار کلید مبارزه با این نوع حملات است.»
بیشتر از TechRadar Pro
- همه چیزهایی که باید درباره آخرین وصله به‌روزرسانی و اضطراری روز صفر Chrome بدانید
- در اینجا یک لیست از بهترین فایروال ها اطراف امروز
- اینها هستند بهترین حذف بدافزار ابزار در حال حاضر
منبع: https://www.techradar.com/pro/security/google-workspace-apparently-has-an-obvious-flaw-that-could-lead-to-cyberattacks