پاداش 5000 دلاری گوگل برای رفع باگ "حذف ویدئوهای یوتیوب"

Kamil Hismatullin ، دانشجو و محقق امنیتی با استقبال از پیشنهاد پاداش گوگل در خصوص یافتن باگها و آسیب پذیریهای فنی و امنیتی سرویس اشتراک ویدئوی یوتیوب، و اخذ 1337 دلار پیش از آغاز تحقیقاتش، پی به وجود یک باگ امنیتی برد که میتواند براحتی منجر به حذف ویدئوی مشترکین از این وبسایت شود. در ادامه به بررسی گزارش کسپرسکی* در این خصوص با جزئیات شناسایی این باگ امنیتی می‌پردازیم.

علاوه بر مبلغ فوق، گوگل 5000 دلار دیگر به ازای یافتن این باگ امنیتی بزرگ به وی پرداخت نمود که البته با توجه به تأثیر و عواقب احتمالی این باگ مبلغی ناچیز بنظر میرسد.

Hisnmatullin ضمن انتشار ویدئویی در خصوص نحوه عملکرد این باگ امنیتی، که در زیر مشاهده میکنید، و با کنایه از اینکه این باگ با یک کد و دستورات منطقی مورد استفاده قرار می گیرد، آن را logical bug (باگ منطقی) نامید. وی در این ویدئو و گزارشات خود اینگونه باگ را تشریح می نماید که با کپی نمودن برخی از مشخصه ها (event-id و session_token) از کد یک ویدئو و استفاده از آن در دستوری بشکل زیر کاربر با پاسخ success روبرو میشود:

کد مورد استفاده توسط شخص سودجو، و پاسخ آن:

POST https://www.youtube.com/live_events_edit_status_ajax?action_delete_live_event=1

event_id: ANY_VIDEO_ID

session_token: YOUR_TOKEN

<<< 

{

  "success": 1

}

و پس از آن اگر فرد دیگری اقدام به مشاهده آن ویدئوی ابتدایی نماید، با پیغام زیر مبنی بر در دسترس نبودن ویدئوی مورد نظر مواجه میشود:

این محقق امنیتی که میگوید شناسایی این باگ امنیتی 7 ساعت زمان برده است، و همچنین اظهار داشته که شرکت گوگل پس از دریافت گزارش وی سریعاً و در عرض چند ساعت این باگ را برطرف نموده است. بنا بر ادعای وی، شرکت گوگل از وی خواسته بوده تا چند هفته هیچ اخباری از وجود این باگ منتشر ننماید در حالی که سریعاً مشکل برطرف گردید. بلاگ امنیتی threatpost که از سوی کارشناسان امنیتی شرکت کسپرسکی، بزرگترین ارائه دهنده آنتی ویروس و راهکارهای امنیتی نیز، ضمن تماس با شرکت گوگل، به محافظه کاری این شرکت در این خصوص پی برد.

منبع: کسپرسکی آنلاین

*  کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکی، کسپراسکای، و یا کاسپراسکای نیز میشناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکي نام دارد.