Falha de segurança afeta contas do Gmail

Uma falha de segurança recente no Google API permitiu que e-mails fossem enviados para os usuários do Gmail, sem que se tivesse conhecimento sobre o endereço das contas desses usuários. De acordo com o TechCrunch, a vítima só precisaria visitar um site criado para essa finalidade, enquanto estivesse conectado em sua conta do e-mail Google.

A falha poderia ser explorada no modo de navegação privada, que não costuma dar acesso aos cookies do usuário. Sabe-se que o problema permitiu que e-mails com linhas de assunto arbitrária fossem enviados a partir do endereço de e-mail noreply@google.com, o que tornava praticamente impossível que os usuários pudessem distingui-los de um e-mail autêntico enviado pelo Google.

A vulnerabilidade foi descoberta por um jovem armênio de 21 anos, que fez sua demonstração de explorar livremente o acesso ao serviço Blogspot/Blogger do Google.

A empresa tirou o blog do ar um pouco depois de o erro ter sido descoberto e confirmou o problema ao TechCrunch. De acordo com o Google, a falha na sua Apps Script API já foi corrigida.

Com informações de Under-Linux