O pesquisador de segurança de rede Brutecat descobriu duas vulnerabilidades de segurança no site de vídeos do Google no YouTube. Embora o Google prometa proteger a privacidade do usuário, desde que as duas vulnerabilidades estejam conectadas em série, é possível obter diretamente o endereço de e-mail real do Gmail do criador do canal no YouTube.
Com um endereço de e-mail do Gmail, você também pode se passar pelo Google ou pelo YouTube para criadores de phishing, o que causará mais problemas de segurança, como roubo de grandes contas de canais do YouTube e publicação de sites de phishing.
Inicialmente, pesquisadores que analisaram a API People do Google descobriram que um recurso que permite bloquear usuários do YouTube dependia de GaiaIDs obscuros, o sistema de gerenciamento de ID de todos os produtos do Google.
De acordo com as instruções na página de suporte do Google, o bloqueio de alguém no YouTube se estenderá automaticamente a outros produtos do Google, o que significa que quando um usuário realiza uma operação de bloqueio, não é a conta do YouTube da outra pessoa que é bloqueada, mas sim o GaiaID.
Houve vários erros na análise do GaiaID em endereços de e-mail no passado, e os pesquisadores acreditam que essa vulnerabilidade ainda pode existir em alguns produtos Google mais antigos e menos conhecidos.
A verificação subsequente provou que os pesquisadores estavam corretos. Os pesquisadores encontraram um link na versão online do GooglePixelRecorder (o gravador de voz que acompanha os dispositivos Google Pixel). Ao compartilhar a gravação da versão web do PixelRecorder com o GaiaID e verificar a solicitação web, o endereço de e-mail do alvo foi exposto.
Normalmente, a execução de tal operação acionará uma notificação de compartilhamento a ser enviada ao usuário alvo (como uma notificação de compartilhamento de gravação).Mas os pesquisadores usaram um script Python para atribuir um nome de arquivo de gravação extremamente longo (o nome do arquivo tinha 2,5 milhões de caracteres)., esse nome de arquivo faz com que o Google não envie notificações de compartilhamento aos usuários-alvo.
Depois de determinar que a vulnerabilidade poderia ser explorada, o pesquisador relatou a vulnerabilidade ao Google, que foi posteriormente confirmada pelo Google. O Google alocou uma recompensa por vulnerabilidade de US$ 3.133 ao pesquisador. No entanto, após uma consideração cuidadosa, o Google sentiu que a vulnerabilidade provavelmente seria explorada, por isso reavaliou o nível de perigo e concedeu um adicional de US$ 7.500, o que significa que a recompensa cumulativa do pesquisador foi de US$ 10.633.
O Google corrigiu atualmente esta vulnerabilidade. É claro que, se isso não resolver, os pesquisadores não divulgarão os detalhes da vulnerabilidade acima.