Google Apps poate fi accesat de catre atacatorii online

Un cercetator in securitate a descoperit o problema serioasa in Google Spreadsheets, care ar putea da accesul, unui atacator online, la serviciile si documentele utilizatorilor Google.

In timp ce bug-ul este remediat de Google, exista indicatii asupra pericolelor care pot insoti popularele servicii SaaS (Software as a Service), potrivit cercetatorului Billy Rios, care a descoperit aceasta problema.

Din cauza modului in care Google structureaza procesele de autentificare, un singur atac XSS (cross-site scripting) poate furniza accesul la serviciile si documentele utilizatorilor Google, a spus Rios.

Exploatarea se bazeaza pe modul in care Internet Explorer determina tipul de continut al raspunsurilor date de server, ignorand problema data de tipul continutului, in unele circumstante. Alte browsere ca Firefox, Opera si Safari pot fi facute sa se comporte la fel, a daugar Rios.

Pentru a scapa de atac, Rios a inclus limbaj HTML in prima celula a tabelului, si JavaScript pentru a afisa cookie-ul utilizatorului. IE a redat continutul ca HTML, permitand cooki-ului sa fie vazut.

Atacul se poate face prin intermediul unui link catre spreadsheet-ul respectiv.

„Pentru a fi corecti, Google a inclus o aparare subtila pentru a te proteja impotriva determinarii tipului de continut, dar aceasta protectie a dat gres (cu un imbold din partea mea)”, a declarat Rios.

Sursa: IDG News Service