يا جماعة فككوا من أي ثغرة قريتوا عنها الفترة دي وتعالوا شوفوا العظمة دي باحث من فريق BruteCat عمل مصلحة بـ 148 ألف دولار من جوجل! الراجل ده مطلعش بثغرة عادية، ده عمل Exploit Chain (سلسلة استغلال) حرفياً تدرس في الـ Cloud Penetration Testing وقدر يوصل لـ RCE (تنفيذ كود عشوائي) جوة بيئة الإنتاج والـ Backend بتاعة جوجل كلاود (CVE-2026-2031)
الموضوع بدأ إزاي؟
الراجل كان بيتسلى على الـ Google Cloud Application Integration، ولقى Endpoint شكلها غلبان وبريء جداً وهي
GET /v1/integrationPlatform:getProtoDefinition
الـ Endpoint دي كانت بترجع الـ Protobuf schemas لأي خدمة جوة الـ monolith الداخلي بتاع جوجل (google3) متخيل؟ يعني بقى معاه خريطة وهيكل الـ Requests والـ Responses لكل الـ APIs الداخلية من أول يوتيوب لحد أعمق الأنظمة الحساسة
اللعِب التقيل بدأ هنا
استخدم Parameter اسمه ?alt=proto مع الهيدر ده X-Goog-Encode-Response-If-Executable: base64 وقدر يسحب الـ Task list بتاعة العمليات الداخلية، واللي فيها بيانات مرعبة من Spanner لـ Salesforce
وهو بيكتشف الـ Workflow configuration لقى تاسك اسمها GenericStubbyTypedTaskV2. دي بقى بتخليه يعمل Stubby RPC calls (وده بروتوكول التواصل الداخلي بتاع جوجل) نيابة عن سيرفر الإنتاج نفسه! يعني كأنه بقى سيرفر جوة الشبكة الداخلية وموثوق فيه بشوية مناورات في الـ ACLs وتخطي للفحوصات بحسابين، قدر يعمل Deploy لـ Workflow خبيث وينفذ أمر /ServerStatus.GetServices على الـ gslb:alkali-base (موزع الأحمال العالمي لجوجل) وجاب لستة الخدمات الداخلية كلها بالـ descriptions بتاعتها (دي لوحدها خد عليها P0/S0 بـ 60 ألف دولار)
الجولة التانية (بعد 3 شهور)
جوجل قفلت الثغرة الأولى، بس الباحث مسكتش رجع لقى ثغرة IDOR في نفس الواجهة العامة، تخليه يقدر يقرا الـ Integrations بتاعة مشاريع تانية لو غير الـ UUID.
المشكلة إن الـ UUID طوله 128 بت ومستحيل تخمينه.. بس هو لقى Endpoint تانية اسمها ListTestCases مفيش عليها فلتر وبتسرب الـ Test cases بتاعة كل المشاريع اللي في المنطقة. وبذكاء شديد، استخدم طريقة "البحث الثنائي (Binary Search) عشان يختصر الـ 128 بت دول في 128 طلب بس! وجاب الـ UUID بتاع الضحية.
من هنا رجع عمل الـ RCE تاني بس بشكل متكرر عن طريق الـ PythonTask والـ GenericStubbyTypedTaskV2 ووقع مبدأ العزل بين العملاء في الكلاود تماماً.
التقسيمة بتاعة الـ Bounty كانت كالتالي:
السلسلة الأولى (RCE): خد عليها 60 ألف دولار.
السلسلة التانية (IDOR + RCE): خد عليها 75 ألف دولار.
ثغرة IDOR متبقية (اكتشاف إضافي): خد عليها 13,337 دولار.
إجمالي الحكاية دي: حوالي 148 ألف دولار كاش في جيبه!
الدرس المستفاد هنا؟ الـ Info Disclosure البسيط هو اللي بيفتح السكة للـ RCE، وترقيع الثغرة من المطورين مش معناه إن النظام بقى آمن 100% لو سابوا ثغرة منطقية (Logical Flaw) في مكان تاني.
#الامن_السيبراني #ثغرات_أمنية #BugBounty
