Google Docs: bug poderia permitir que hackers roubassem documentos

1 min de leitura
Imagem de: Google Docs: bug poderia permitir que hackers roubassem documentos
Imagem: The Hacker News
Avatar do autor

A Google acaba de corrigir um bug em sua ferramenta de feedback incorporada no Google Docs, que poderia ser explorado por invasores mal-intencionadas para roubar capturas de telas com documentos confidenciais, e transferi-las para sites maliciosos.

A falha foi descoberta pelo pesquisador de segurança Sreeram KL no dia 9 de julho passado, e rendeu ao investigador um prêmio, pago pela Programa de Recompensa de Vulnerabilidades da Google, no valor de US$ 3.133,70, cerca de R$ 16,3 mil.

Esquema da falha de segurança (Fonte: The Hacker News/Reprodução)Esquema da falha de segurança (Fonte: The Hacker News/Reprodução)Fonte:  The Hacker News 

O bug estava localizado na opção “Enviar feedback” ou “Ajude o Docs a melhorar”, uma ferramenta muito comum nos produtos da Google, que permite aos usuários enviar um feedback com a possibilidade de anexar uma captura de tela, o que é feito automaticamente para ilustrar problemas específicos.

Como funcionaria um possível ataque hacker ao Google Docs?

Segundo Sreeram KL, a falha no Google Docs consistia em integrar o feedback a outros domínios, por meio de um elemento iframe, que permite a captura da imagem do conteúdo do pop-up de "feedback .googleusercontent.com”. Confira no vídeo abaixo como poderia funcionar o fluxo de ataque.

Para explorar esta falha no Google Docs, um hacker dependeria da “ajuda” do usuário, e os dados obtidos se limitariam apenas ao documento do qual foi enviada a cópia. No entanto, ela representa um risco real de exposição de dados pessoais, sem contar que, quando se trata de pessoas mal-intencionadas, todo o cuidado é pouco.