16/09/05 10:17:33.84 CAP_USER.net
URLﾘﾝｸ(gigazine.net)
セキュリティ専門家のエイダン・ウッズ(Aidan Woods)氏がGoogleのログインページからマルウェアに感染する
恐れのある脆弱性を発見、Googleのセキュリティチームに報告したのですが、Googleから「セキュリティバグとして追跡しないことに決定しました」と
いう返答があったことがウッズ氏のブログで報告されています。
ウッズ氏が発見したGoogleのログインページの脆弱性は、Googleのアプリやサービスにログインした後に別のページにリダイレクトさせられるというもの。
リダイレクトされるページは「google.com」のドメインの範囲内に限られますが、GoogleドライブやGoogleドキュメントなどにマルウェアを設置すれば、
「drive.google.com」「docs.google.com」といったGoogleのサブドメイン下でマルウェアのダウンロードページを表示できるとのこと。
ウッズ氏はこの脆弱性を突けばマルウェアをダウンロードさせることや、Googleのログイン情報を盗み取ることができると主張しており、
Googleのセキュリティチームにバグ報告を行いました。これを受けたGoogleはこの問題について調査しましたが、
「オープンリダイレクターの仕組みで対処できているので問題ない」として特別な対処は行わない旨をウッズ氏へ返信。
ウッズ氏はセキュリティ専門家として脆弱性が存在する状態で詳細を公開するべきか迷っていたものの、
Googleの対応を「問題を正しく認識していない」と考え、情報公開によってGoogleが改めて問題に対処してくれることを期待してブログの公開に踏み切ったそうです。
ログインページからリダイレクトされる様子を再現したムービーは以下から見ることができます。
URLに「Googleドライブのファイルをダウンロードする」というパラメータ(export=download)を挿入した
Googleのログインページで、Googleアカウントのログイン情報を入力して「Login」をクリックすると……
ログインが完了すると自動的にGoogleドキュメントから複数のファイルのダウンロードが始まりました。
悪意のあるアタッカーなら、このようにマルウェアをダウンロードさせることができうると、ウッズ氏は警告しています。