Seorang peneliti keamanan menemukan celah eksekusi kode jarak jauh di situs dokumentasi pengembang Google. Saat memetakan alur OAuth yang dipakai bersama di situs-situs ini, peneliti melihat bahwa endpoint /oauth2authorize menetapkan cookie sesi Flask yang sangat besar, sekitar 1.200 byte, jauh melebihi kebutuhan token CSRF dan URL pengembalian. Cookie sesi Flask ditandatangani tetapi tidak dienkripsi, sehingga isinya dapat dibaca oleh siapa pun yang memegangnya.
Saat cookie didekode, peneliti menemukan objek hasil serialisasi pickle yang berisi client_id dan client_secret OAuth milik Google dalam teks biasa. Peneliti juga mendapati bahwa client secret digunakan sebagai SECRET_KEY Flask, yang berarti nilai yang sama digunakan untuk membuat dan memverifikasi tanda tangan. Karena kunci penandatanganan terekspos di dalam cookie itu sendiri, peneliti dapat menghitung ulang tanda tangan yang valid secara offline dan memalsukan data sesi sembarang.
Endpoint callback membaca data alur OAuth dari sesi dan meneruskannya ke pickle.loads. Dengan sesi palsu, penyerang dapat memasukkan muatan pickle berbahaya, sehingga ini menjadi jalur eksekusi kode jarak jauh tanpa autentikasi. Peneliti memverifikasi masalah ini dengan aman menggunakan muatan yang hanya memicu time.sleep, sehingga tidak menjalankan perintah apa pun pada sistem produksi Google.
Temuan ini memperlihatkan bagaimana menyimpan rahasia dalam data sesi sisi klien dan mendeserialisasi data pickle yang tidak tepercaya dapat saling memperkuat menjadi celah kritis. Bug ini mendapat hadiah $90.000.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing