Arvin Shivram

Uma falha de autorização ausente em uma operação de API privada GraphQL na seção do Google App Engine do Cloud Console permite que um invasor remoto não autenticado vaze logs de requisição sensíveis do App Engine de outros projetos por meio de uma requisição especialmente elaborada.

Um controle de acesso inadequado em vários endpoints de API internos permite que um invasor remoto não autenticado divulgue informações internas confidenciais e execute código arbitrário. Isso é feito enviando solicitações HTTP especialmente criadas para endpoints de API internos que foram inadvertidamente expostos. O problema envolve endpoints de depuração que permitem a configuração de fluxos de trabalho privilegiados, levando à Execução Remota de Código (RCE), que é a capacidade de executar comandos arbitrários em uma máquina alvo.

Existe um bypass de autenticação no caminho de código `STREAMING-UNSIGNED-PAYLOAD-TRAILER`. Um invasor que possua uma chave de acesso válida pode gravar objetos arbitrários em qualquer bucket sem a chave secreta ou uma assinatura criptográfica válida. O problema ocorre porque `PutObjectHandler` e `PutObjectPartHandler` utilizam `newUnsignedV4ChunkedReader` com um portão de verificação de assinatura que depende apenas do cabeçalho `Authorization`. Simultaneamente, `isPutActionAllowed` aceita credenciais do cabeçalho `Authorization` ou do parâmetro de consulta `X-Amz-Credential`. Ao omitir o cabeçalho `Authorization` e fornecer credenciais via string de consulta, o portão de assinatura é ignorado e a solicitação é processada usando as permissões da chave de acesso impersonada. Isso afeta caminhos de bucket padrão e de tabelas/warehouse, bem como uploads de múltiplas partes.

Existe um bypass de autenticação no manipulador de auto-extração Snowball `PutObjectExtractHandler`. Este problema permite que um usuário com uma chave de acesso válida escreva objetos arbitrários em qualquer bucket sem fornecer a chave secreta ou uma assinatura criptográfica válida. A falha ocorre porque o bloco `switch rAuthType` no manipulador não possui um caso para `authTypeStreamingUnsignedTrailer`, fazendo com que a execução ignore a verificação da assinatura. Um invasor pode explorar isso enviando uma requisição PUT com o cabeçalho `X-Amz-Content-Sha256` definido como `STREAMING-UNSIGNED-PAYLOAD-TRAILER`, o cabeçalho `X-Amz-Meta-Snowball-Auto-Extract` definido como `true` e um cabeçalho `Authorization` contendo uma chave de acesso válida com uma assinatura fabricada.