پاداش ۵۰۰۰ دلاری گوگل برای رفع باگ “حذف ویدئوهای یوتیوب”

Hisnmatullin ضمن انتشار ویدئویی از نحوه عملکرد این باگ امنیتی، و با کنایه از اینکه این باگ با یک کد و دستورات منطقی مورد استفاده قرار می گیرد، آن را logical bug (باگ منطقی) نامید.

Kamil Hismatullin ، دانشجو و محقق امنیتی با استقبال از پیشنهاد پاداش گوگل در خصوص یافتن باگها و آسیب پذیریهای فنی و امنیتی سرویس اشتراک ویدئوی یوتیوب، و اخذ ۱۳۳۷ دلار پیش از آغاز تحقیقاتش، پی به وجود یک باگ امنیتی برد که میتواند براحتی منجر به حذف ویدئوی مشترکین از این وبسایت شود. در ادامه به بررسی گزارش کسپرسکی* در این خصوص با جزئیات شناسایی این باگ امنیتی می‌پردازیم.

به گزارش تکنــــــــــــــــــازدانلود: از کسپرسکی آنلاین , علاوه بر مبلغ فوق، گوگل ۵۰۰۰ دلار دیگر به ازای یافتن این باگ امنیتی بزرگ به وی پرداخت نمود که البته با توجه به تأثیر و عواقب احتمالی این باگ مبلغی ناچیز بنظر میرسد.

Hisnmatullin ضمن انتشار ویدئویی از نحوه عملکرد این باگ امنیتی، و با کنایه از اینکه این باگ با یک کد و دستورات منطقی مورد استفاده قرار می گیرد، آن را logical bug (باگ منطقی) نامید.

وی در این ویدئو و گزارشات خود اینگونه باگ را تشریح می نماید که با کپی نمودن برخی از مشخصهها (event-id و session_tokn) از کدیک ویدئو و استفاده از آن در دستوری بشکل زیر کاربر با پاسخ success روبرو میشود:

POST https://www.youtube.com/live_events_edit_status_ajax?action_delete_live_event=1
 event_id: ANY_VIDEO_ID
 session_token: YOUR_TOKEN
 <<<
 {
 "success": 1
 }

و پس از آن اگر فرد دیگری اقدام به مشاهده آن ویدئوی ابتدایی نماید، با پیغام زیر مبنی بر در دسترس نبودن ویدئوی مورد نظر مواجه میشود:

این محقق امنیتی که میگوید شناسایی این باگ امنیتی ۷ ساعت زمان برده است، و همچنین اظهار داشته که شرکت گوگل پس از دریافت گزارش وی سریعاً و در عرض چند ساعت این باگ را برطرف نموده است. بنا بر ادعای وی، شرکت گوگل از وی خواسته بوده تا چند هفته هیچ اخباری از وجود این باگ منتشر ننماید در حالی که سریعاً مشکل برطرف گردید.

بلاگ امنیتی threatpost که از سوی کارشناسان امنیتی شرکت کسپرسکی نیز ضمن تماس با شرکت گوگل، به محافظه کاری این شرکت در این خصوص پی برد.