Google App इंजन में अनेक कमजोरियाँ पाई गईं

शोधकर्ताओं से सुरक्षा अन्वेषण रिपोर्ट करें कि उन्होंने पाया है अनेक गंभीर कमज़ोरियाँ के जावा वातावरण में गूगल ऐप इंजन, का हिस्सा गूगल क्लाउड प्लेटफार्म.

8 दिसंबर को अपडेट: हमें Google के प्रवक्ता से यह कथन प्राप्त हुआ: "हम अपनी कमजोरियों की रिपोर्ट लेते हैं उत्पादों को बहुत गंभीरता से लिया गया है और हम पूर्ण प्रकटीकरण के लिए सिक्योरिटी एक्सप्लोरेशन की पोस्टिंग की जांच कर रहे हैं मेलिंग सूची। हमारे पास यह मानने का कोई कारण नहीं है कि ग्राहक डेटा और एप्लिकेशन जोखिम में हैं।"

Google ऐप इंजन कंपनी का PaaS (एक सेवा के रूप में प्लेटफ़ॉर्म) है जो विभिन्न प्रकार की लोकप्रिय भाषाओं और फ़्रेमवर्क का उपयोग करके कस्टम-निर्मित प्रोग्राम चलाने की पेशकश करता है। इनमें से कई जावा वातावरण पर निर्मित हैं।

सिक्योरिटी एक्सप्लोरेशन का कहना है कि कमजोरियाँ पूर्ण जावा वीएम सुरक्षा सैंडबॉक्स से बचने के साथ-साथ मनमाने कोड निष्पादन की अनुमति देती हैं। कुल मिलाकर, शोधकर्ताओं का मानना ​​है कि मुद्दों की संख्या "कुल 30+" है। वे अपना शोध पूरा करने में असमर्थ हैं क्योंकि Google ने उनका परीक्षण Google ऐप इंजन खाता निलंबित कर दिया है।

Google की हरकतें अनुचित नहीं हैं और सिक्योरिटी एक्सप्लोरेशन इस बात को स्वीकार करता है:

बिना किसी संदेह के यह हमारी ओर से एक ओपसेक विफलता है (इस सप्ताह हमने थोड़ा अधिक आक्रामक तरीके से प्रहार किया) अंतर्निहित ओएस सैंडबॉक्स / त्रुटि कोड 202, सैंडबॉक्स की प्रकृति के बारे में अधिक जानने के लिए विभिन्न सिस्टम कॉल जारी किए स्वयं, आदि)।

वे आशा करते हैं, वे कहते हैं, कि Google उन्हें अपना काम पूरा करने की अनुमति देगा, क्योंकि Google आम तौर पर सुरक्षा अनुसंधान समुदाय का समर्थन और मददगार रहा है।

Google ऐप इंजन केवल JRE मानक संस्करण कक्षाओं के सबसेट, जिसे JRE क्लास व्हाइट लिस्ट कहा जाता है, तक पहुंच की अनुमति देता है। शोधकर्ता इस श्वेतसूची से बाहर निकलने और पूर्ण जेआरई तक पहुंच प्राप्त करने में सक्षम थे। उन्हें 22 पूर्ण सैंडबॉक्स एस्केप मुद्दे मिले और वे उनमें से 17 का फायदा उठाने में सक्षम थे। वे मूल कोड निष्पादित करने में सक्षम थे, विशेष रूप से मनमानी लाइब्रेरी/सिस्टम कॉल जारी करने और जेआरई सैंडबॉक्स वाली फ़ाइलों तक पहुंच प्राप्त करने में सक्षम थे।

8 दिसंबर को अपडेट: आगे के विश्लेषण के बाद यह स्पष्ट है कि Google द्वारा खाता हटाना इस बात का प्रमाण है कि उनके पास अन्य सुरक्षा उपाय हैं। यह मान लेना उचित है कि Google के कुछ अन्य उपाय, कम से कम कुछ परिस्थितियों में, कुछ हमलों को कम कर देंगे। सिक्योरिटी एक्सप्लोरेशन का कहना है कि Google का सुरक्षा अनुसंधान के साथ अच्छा संबंध है समुदाय निस्संदेह सत्य है, जैसा कि पूर्व सहयोग और एक अच्छे आकार के बग से प्रमाणित है इनाम कार्यक्रम.