Български хакер открил дупка в официалния домейн на Google

На 11 ноември, български хакер под името „Keeper“ докладва на Google за постоянен (persistent) XSS (крос-сайт скриптинг) уязвимост в страница, част от главния домейн на интернет гиганта. На втория ден от екипа на Google върнали писмо в отговор на доклада. В него, те посочили, че дупката не се квалифицира като потенциално опасна и не представлява никаква опасност за сигурността, твърдейки, че се намира на изолиран хост под сандбокс филтрация. Официалното писмо от екипа гласи:

Hi,

Thanks for your message! The domain in which the uploaded gadget is hosted – *.googleusercontent.com – is specifically meant as a compartmentalized „sandbox“ for various types of potentially unsafe, user-controlled content.

This domain is isolated from any sensitive content due to the same-origin policy.

If you see any way in which this causes problems for other Google services, please let us know.

You can read more about bugs that qualify for a reward here: https://www.google.com/about/appsecurity/reward-program/

Regards,
Artur, Google Security Team

След като от компанията отказали да приемат дупката като такава, хакерът се насочил към интернет медийте. Не след дълго, множество статии в едни от най-големите портали за ИТ новини се появили, защитавайки твърденията на 16 годишния хакер и опровергавайки екипа на Google. Впоследствие авторът на една от статийте и хакерът направили една от така наречените „фишинг“ страници, чиято цел е да открадне акаунти от потребителите на +Google. С тези действия, двамата се опитали да докажат на Google, че уязвимостта може да се ползва за злонамерени цели.