Bug importante in una API di Google

Per i tecnici di Google quello che si è appena concluso è stato un fine settimana difficile, infatti è stato rilevato un grave bug di sicurezza in Google Apps Script API . Il problema al momento pare risolto, anche se nelle prime ore dalla scoperta ha destato non poca preoccupazione, infatti bastava che l'utente con il proprio browser web navigasse su uno specifico sito mentre era autenticato sul proprio account Gmail per vedersi recapitare una email.

Il bug aveva la capacità di rilevare l'indirizzo email dell'utente e proprio su tale casella di posta elettronica veniva inviato un messaggio. I possibili ambiti di una vulnerabilità simile sono presto immaginabili: phishing, più banalmente spam o più complicate e macchinose strategie. A far preoccupare è che dalla semplice visualizzazione di una pagina web venga identificato l'indirizzo email dell'utente.

TechCrunch.com ha pubblicato una dettagliata descrizione del problema e viene sottolineato come anche le modalità di "navigazione in incognito" non offrano la sufficiente protezione in questo specifico caso. Google ha già annunciato la risoluzione del problema all'interno delle Google Apps Script API: "Abbiamo rapidamente risolto il problema nelle Google Apps Script API che hanno permesso l’invio di email agli utenti Gmail senza il loro permesso se avessero visitato siti web appositamente sviluppati ed abbiamo disabilitato la funzionalità. Suggeriamo segnalazioni responsabili di potenziali problemi di sicurezza alla casella email [email protected]".

Al momento sul blog di Google dedicato alla sicurezza non sono state pubblicate ulteriori informazioni relative al problema rilevato e risolto.