Phát hiện lỗ hổng thiết kế nghiêm trọng trong tính năng ủy quyền của Google Workspace

Các nhà nghiên cứu bảo mật đã phát hiện một "lỗ hổng thiết kế nghiêm trọng" trong tính năng ủy quyền trên toàn miền (domain-wide delegation - DWD) của Google Workspace có thể bị kẻ tấn công khai thác để leo thang đặc quyền và giành được quyền truy cập trái phép vào các API của Workspace mà không cần quyền quản trị cấp cao (super admin).

Công ty bảo mật Hunters cho biết "hoạt động khai thác này có thể dẫn đến việc đánh cắp email từ Gmail, rò rỉ dữ liệu từ Google Drive hoặc các hành động trái phép khác trong các API Google Workspace trên tất cả các danh tính trong miền mục tiêu".

Điểm yếu thiết kế - hiện vẫn còn - được gọi là DeleFriend do khả năng thao túng các ủy quyền (delegations) hiện có trong nền tảng Google Cloud (GCP) và Google Workspace mà không cần quyền super admin.

Theo Google, DWD là một "tính năng mạnh mẽ" cho phép ứng dụng bên thứ ba và nội bộ truy cập dữ liệu của người dùng trên môi trường Google Workspace của tổ chức.

Vấn đề này xuất phát từ việc cấu hình ủy quyền miền được xác định bởi số định danh tài khoản dịch vụ (OAuth ID), chứ không phải các khóa bí mật (private key) cụ thể được liên kết với đối tượng danh tính tài khoản dịch vụ.

Kết quả là, những kẻ tấn công có quyền truy cập bị hạn chế vào dự án GCP mục tiêu có thể "tạo nhiều mã JSON web token (JWT) bao gồm các phạm vi OAuth khác nhau, nhằm kết hợp các cặp khóa bí mật và các phạm vi OAuth được ủy quyền để cho thấy tài khoản dịch vụ đã được kích hoạt ủy quyền trên toàn miền."

Khai thác thành công lỗ hổng có thể làm rò rỉ dữ liệu nhạy cảm từ các dịch vụ của Google như Gmail, Drive, Calendar và các dịch vụ khác. Hunters cũng đã cung cấp một mã khai thác (PoC) có thể được sử dụng để phát hiện các cấu hình sai của DWD.

Yonatan Khanashvili, nhà nghiên cứu của Hunters, cho biết: "Những hậu quả tiềm ẩn khi kẻ tấn công lạm dụng ủy quyền trên toàn miền là nghiêm trọng". "Nó không chỉ ảnh hưởng đến một danh tính duy nhất, việc khai thác DWD với ủy quyền hiện tại có thể ảnh hưởng đến tất cả danh tính trong miền Workspace."

Nguồn: thehackernews.com.