Bir güvenlik araştırmacısı, 'ın bug takip sisteminde özel bilgilerin ortaya çıkmasına neden olabilecek ciddi bir bug keşfetti.
, Bluetooth'u kolaylaştırdı!
Kendini "yazılımcı adam" olarak adlandıran Alex Birsan, Issue Tracker sisteminin dahili sayfalarına ulaşarak kendini bir @google.com hesabıyla kaydetmeyi başardı. Bu alan adı normalde sadece çalışanları tarafından kullanılabiliyor. Birsan, açığı şöyle anlattı:
'dan sürpriz cihaz!
"Farklı, sahte bir eposta adresiyle kaydolup epostayla gelen bağlantıya tıklamazsam, adresimi herhangi bir kısıtlama olmaksızın değiştirebiliyordum. Bu yöntemle yeni bir hesabının eposta adresini firstname.lastname@example.org olarak değiştirdim."
Gelen onay epostasına tıklayıp "Issue Tracker"a tıklayan geliştirici, çalışanlarına yönelik kurumsal sayfaya yönlendirildiğini söylüyor. Birsan'ın giriş bilgileri çalışmasa da firmanın taksi hizmetine ulaşabildiği anlaşılıyor. Birsan, dahili bug raporları hakkında bilgi alabildiğini, sorunlara yorum yapabildiğini ve belirli girdilere yıldız ekleyebildiğini söylüyor.
Araştırmacı, bug raporlama sisteminde çalışma saatlerinde saatte yaklaşık 2000-3000 yeni sorunun açıldığını ve bunların yalnızca yüzde 0,1'inin herkese açık olduğunu söylüyor. Araştırmacıya göre buradan yaşanacak bir veri sızıntısı, büyük bir hasara yol açabilirdi.
Birsan, bulduğu açıklar için 'dan 15.600 dolar ödeme almış bulunuyor. Öğrenci, yazın 'ın App Engine sunucusunda bulduğu açık sayesinde 10.000 dolar kazanmıştı.
Chip.com.tr