Delefriend: Falha de design no Google Workspace permite exploração de alto impacto

Uma equipe de pesquisadores de segurança da Hunters Axon descobriu uma falha de design no recurso de delegação em todo o domínio do Google Workspace. Essa brecha pode permitir que invasores usem indevidamente as delegações existentes, permitindo o escalonamento de privilégios e o acesso não autorizado às APIs do Workspace sem privilégios de superadministrador.

A delegação em todo o domínio permite que as identidades do Google Cloud Platform (GCP) executem tarefas em aplicativos Google SaaS, como Gmail, Google Calendar, Google Drive e muito mais, em nome de outros usuários do Workspace.

A falha de design, apelidada de “DeleFriend” pela equipe da Hunters, permite que invasores em potencial manipulem delegações existentes no GCP e no Google Workspace sem possuir a função de superadministrador de alto privilégio no Workspace, que é essencial para a criação de novas delegações.

Invasores podem criar vários tokens Web JSON (JWTs) compostos de diferentes escopos OAuth. Eles podem então usar esses tokens para identificar combinações bem-sucedidas de pares de chaves privadas e escopos OAuth autorizados que indicam que a conta de serviço tem delegação de domínio habilitada.

A causa raiz reside no fato de que a configuração da delegação de domínio é determinada pelo identificador de recurso da conta de serviço (ID OAuth) e não pelas chaves privadas específicas associadas ao objeto de identidade da conta de serviço.

Essa falha representa um risco especial devido ao impacto potencial descrito acima e é amplificado por vários fatores:

• Longa vida útil: por padrão, as chaves da conta do serviço GCP são criadas sem data de validade. Isso permite que os invasores assumam o controle de delegações existentes e mantenham o acesso não autorizado por longos períodos de tempo.

• Fácil de ocultar: a criação de novas chaves de conta de serviço para IAMs existentes ou, alternativamente, a configuração de uma regra de delegação na página de autorização da API é fácil de ocultar. Isso ocorre porque essas páginas normalmente hospedam uma grande variedade de entradas legítimas, que não são examinadas suficientemente minuciosamente.

• Conscientização: os departamentos de TI e segurança nem sempre estão cientes do recurso de delegação em todo o domínio. Eles podem especialmente não estar cientes do seu potencial para abusos maliciosos.

• Difícil de detectar: como as chamadas de API delegadas são criadas em nome da identidade de destino, as chamadas de API serão registradas com os detalhes da vítima nos registros de auditoria correspondentes do GWS. Isto torna difícil identificar tais atividades.

A gama de ações possíveis varia de acordo com os escopos OAuth da delegação. Por exemplo, os invasores podem usar a falha para roubar e-mail do Gmail, exfiltrar dados da unidade ou monitorar reuniões do Google Agenda.

Para executar o método de ataque, é necessária uma permissão específica do GCP nas contas de serviço de destino. No entanto, a Hunters observou que tal permissão não é uma prática incomum em organizações, tornando esta técnica de ataque altamente prevalente em organizações que não mantêm uma postura de segurança em seus recursos do GCP.

A Hunters criou uma ferramenta de prova de conceito para ajudar as organizações a detectar configurações incorretas de DWD, aumentar a conscientização e reduzir os riscos de exploração do DeleFriend. Atualmente, o Google ainda não resolveu a falha de design.

Recomendações para mitigar a ameaça

1. Reveja suas configurações de delegação em todo o domínio. Certifique-se de que apenas as contas de serviço que precisam acessar as APIs do Workspace tenham delegação habilitada.

2. Ative o controle de acesso baseado em função (RBAC) para as APIs do Workspace. Isso ajudará a restringir o acesso às APIs apenas às ações necessárias.

Conclusão

A falha de design DeleFriend representa uma ameaça significativa para as organizações que usam o Google Workspace. As empresas devem tomar medidas para mitigar essa ameaça para proteger seus dados e mitigar os riscos.

Quer amadurecer seu programa de segurança cibernética através do gerenciamento de vulnerabilidades? Conheça a EcoTrust, a #1 plataforma SaaS de Inteligência em Riscos Cibernéticos, que através da identificação e priorização de riscos cibernéticos críticos para o negócio, ajuda empresas a serem mais resilientes a ataques cibernéticos. Agende uma demo aqui