نقص OAuth گوگل به مهاجمان امکان دسترسی به حساب‌های متروکه را می‌دهد

آسیب‌پذیری در سیستم OAuth گوگل با عنوان “Sign in with Google” امکان دسترسی مهاجمان به داده‌های حساس کارمندان سابق استارتاپ‌های منحل شده را فراهم می‌کند. محققان Trufflesecurity این مشکل امنیتی را کشف کرده‌اند که به مهاجمان اجازه می‌دهد با خرید دامنه‌های متروکه، حساب‌های ایمیل کارمندان سابق را بازسازی کرده و به پلتفرم‌های مختلف نرم‌افزار-به‌عنوان-سرویس (SaaS) مانند Slack، Notion، Zoom و ChatGPT دسترسی پیدا کنند. گوگل ابتدا این مسئله را نادیده گرفت اما پس از ارائه آن در کنفرانس Shmoocon، جایزه ۱۳۳۷ دلاری به محققان اعطا کرد.

بر اساس گزارش محققان، در پایگاه داده Crunchbase حدود ۱۱۶,۴۸۱ دامنه از استارتاپ‌های منحل شده برای خرید در دسترس است. مشکل اصلی در ناسازگاری تقریباً ۰.۰۴ درصدی در شناسه منحصربه‌فرد کاربر (sub claim) در سیستم OAuth گوگل نهفته است که باعث می‌شود سرویس‌های پایین‌دستی مجبور به اتکا صرف بر ایمیل و دامنه میزبان شوند. این آسیب‌پذیری میلیون‌ها نفر و هزاران شرکت را تحت تأثیر قرار می‌دهد و با توجه به اینکه ۹۰ درصد از شش میلیون آمریکایی شاغل در استارتاپ‌های فناوری احتمالاً در سال‌های آینده شاهد انحلال شرکت‌هایشان خواهند بود، این خطر به طور مداوم در حال افزایش است.