谷歌修复泄露用户电话的漏洞

一位名为brutecat的安全研究人员发现了一个重大漏洞，可能被用于泄露几乎任何Google账户的私人恢复电话号码，且不需通知账户所有者。该漏洞涉及Google账户恢复功能的缺陷，研究人员通过绕过防机器人机制，能够快速获取目标账户的恢复电话号码。通过脚本自动化，这一攻击链可以在20分钟内破解密码，泄露的私人电话号码可能导致针对性的账户攻击。TechCrunch验证了这一漏洞后，Google确认已解决该问题，并未观察到相关的实际利用。对此发现，brutecat获得5000美元的漏洞奖励。

一位安全研究人员发现了一个重大漏洞，可能被利用来泄露几乎任何Google账户的私人恢复电话号码，而无需通知账户所有者。这个漏洞对用户的隐私和安全构成潜在风险。在研究人员于4月发出警告后，Google向TechCrunch确认该问题已得到解决。

这位以brutecat为名的独立研究人员在他们的博客上详细阐述了他们的发现。他们解释说，可以通过利用Google账户恢复功能中的缺陷来访问恢复电话号码。该利用涉及多个过程协同工作的“攻击链”。这包括泄露目标账户的完整显示名称，以及绕过Google设计的防机器人保护机制，以防止恶意的密码重置请求垃圾邮件。通过绕过速率限制，研究人员能够快速循环遍历Google账户电话号码的所有可能组合，并成功识别正确的数字。

通过脚本自动化这一攻击链，brutecat指出，根据号码的长度，强制破解一个Google账户所有者的恢复电话号码在20分钟或更短的时间内是可行的。TechCrunch通过创建一个使用未被使用的电话号码的新Google账户，并将电子邮件地址与brutecat共享，来测试这一点。没过多久，brutecat确认了恢复电话号码。私人恢复电话号码的泄露可能使匿名Google账户面临针对性的攻击，例如试图接管账户。通过获得该电话号码，攻击者可以通过获取发送到该手机的密码重置代码来重置任何关联账户的密码。鉴于对公众的潜在威胁，TechCrunch同意在修复该漏洞之前不公开此故事。Google发言人Kimberly Samra表示，问题已被修复，并对研究人员的提醒表示感谢。Samra还指出，公司没有观察到与此漏洞相关的确认利用。为了表彰这一发现，brutecat获得了5000美元的漏洞奖励。