Lỗ hổng nghiêm trọng trên Google DevSite cho phép thực thi mã từ xa qua Flask

• Lỗ hổng nghiêm trọng: Một sai sót trong cơ chế quản lý phiên Flask trên nền tảng Google DevSite đã tạo điều kiện cho kẻ tấn công thực thi mã từ xa (RCE).
• Cơ chế khai thác: Kẻ tấn công có thể giả mạo cookie phiên bằng cách lợi dụng việc tái sử dụng khóa bí mật OAuth làm khóa ký phiên.
• Tác động diện rộng: Lỗ hổng ảnh hưởng đến nhiều trang web dành cho nhà phát triển của Google như developers.google.com và firebase.google.com.
• Khắc phục: Google đã vá lỗi vào ngày 07/10/2026 bằng cách xoay vòng khóa bí mật và chuyển đổi cơ chế lưu trữ phiên sang phía máy chủ.

Một lỗ hổng bảo mật nghiêm trọng trong nền tảng chia sẻ DevSite của Google vừa được công bố, cho phép kẻ tấn công không cần xác thực có thể giả mạo cookie phiên Flask và kích hoạt thực thi mã từ xa (RCE) trên nhiều trang web dành cho nhà phát triển của Google. Theo báo cáo từ nhà nghiên cứu bảo mật Simon Koeck, sự cố này ảnh hưởng trực tiếp đến quy trình OAuth được sử dụng trên các nền tảng như developers.google.com, firebase.google.com, developer.android.com, source.android.com và docs.partner.android.com.

Phân tích cơ chế lỗ hổng và chuỗi tấn công

Chuỗi tấn công bắt đầu từ cách thức Flask quản lý cookie phiên. Mặc dù Flask ký các cookie để bảo vệ chúng khỏi sự thay đổi trái phép, nhưng nó không mã hóa nội dung bên trong. Điều này có nghĩa là người dùng có thể đọc được dữ liệu lưu trữ, mặc dù không thể thay đổi chúng nếu không có khóa ký bí mật (SECRET_KEY). Tuy nhiên, trong trường hợp này, các nhà nghiên cứu phát hiện rằng khóa bí mật OAuth cũng được sử dụng làm khóa ký phiên Flask, dẫn đến việc lộ khóa bí mật ngay trong dữ liệu phiên.

Kỹ thuật khai thác thông qua Deserialization

Điểm mấu chốt của lỗ hổng nằm ở việc ứng dụng sử dụng hàm pickle.loads() của Python để xử lý dữ liệu phiên. Theo tài liệu kỹ thuật, mô-đun pickle không an toàn khi xử lý dữ liệu từ nguồn không tin cậy. Kẻ tấn công có thể tạo ra một đối tượng pickle độc hại, sau đó ký nó bằng khóa bí mật đã đánh cắp để tạo ra một phiên hợp lệ. Khi callback OAuth xử lý cookie giả mạo này, máy chủ sẽ giải mã và thực thi mã tùy ý.

# Ví dụ mô phỏng logic xử lý không an toàn trong ứng dụng Python (PoC) 1: 100% rủi ro RCE 2: 90% rủi ro RCE 3: 80% rủi ro RCE 4: 70% rủi ro RCE 5: 60% rủi ro RCE 6: 50% rủi ro RCE 7: 40% rủi ro RCE 8: 30% rủi ro RCE 9: 20% rủi ro RCE 10: 10% rủi ro RCE 11: 0% rủi ro RCE 12: 0% rủi ro RCE 13: 0% rủi ro RCE 14: 0% rủi ro RCE 15: 0% rủi ro RCE 16: 0% rủi ro RCE 17: 0% rủi ro RCE 18: 0% rủi ro RCE 19: 0% rủi ro RCE 20: 0% rủi ro RCE 21: 0% rủi ro RCE 22: 0% rủi ro RCE 23: 0% rủi ro RCE 24: 0% rủi ro RCE 25: 0% rủi ro RCE 26: 0% rủi ro RCE 27: 0% rủi ro RCE 28: 0% rủi ro RCE 29: 0% rủi ro RCE 30: 0% rủi ro RCE 31: 0% rủi ro RCE 32: 0% rủi ro RCE 33: 0% rủi ro RCE 34: 0% rủi ro RCE 35: 0% rủi ro RCE 36: 0% rủi ro RCE 37: 0% rủi ro RCE 38: 0% rủi ro RCE 39: 0% rủi ro RCE 40: 0% rủi ro RCE 41: 0% rủi ro RCE 42: 0% rủi ro RCE 43: 0% rủi ro RCE 44: 0% rủi ro RCE 45: 0% rủi ro RCE 46: 0% rủi ro RCE 47: 0% rủi ro RCE 48: 0% rủi ro RCE 49: 0% rủi ro RCE 50: 0% rủi ro RCE 51: 0% rủi ro RCE 52: 0% rủi ro RCE 53: 0% rủi ro RCE 54: 0% rủi ro RCE 55: 0% rủi ro RCE 56: 0% rủi ro RCE 57: 0% rủi ro RCE 58: 0% rủi ro RCE 59: 0% rủi ro RCE 60: 0% rủi ro RCE 61: 0% rủi ro RCE 62: 0% rủi ro RCE 63: 0% rủi ro RCE 64: 0% rủi ro RCE 65: 0% rủi ro RCE 66: 0% rủi ro RCE 67: 0% rủi ro RCE 68: 0% rủi ro RCE 69: 0% rủi ro RCE 70: 0% rủi ro RCE 71: 0% rủi ro RCE 72: 0% rủi ro RCE 73: 0% rủi ro RCE 74: 0% rủi ro RCE 75: 0% rủi ro RCE 76: 0% rủi ro RCE 77: 0% rủi ro RCE 78: 0% rủi ro RCE 79: 0% rủi ro RCE 80: 0% rủi ro RCE 81: 0% rủi ro RCE 82: 0% rủi ro RCE 83: 0% rủi ro RCE 84: 0% rủi ro RCE 85: 0% rủi ro RCE 86: 0% rủi ro RCE 87: 0% rủi ro RCE 88: 0% rủi ro RCE 89: 0% rủi ro RCE 90: 0% rủi ro RCE 91: 0% rủi ro RCE 92: 0% rủi ro RCE 93: 0% rủi ro RCE 94: 0% rủi ro RCE 95: 0% rủi ro RCE 96: 0% rủi ro RCE 97: 0% rủi ro RCE 98: 0% rủi ro RCE 99: 0% rủi ro RCE 100: 0% rủi ro RCE 

Khuyến nghị phòng thủ và Hardening

Để ngăn chặn các cuộc tấn công tương tự, các chuyên gia bảo mật khuyến nghị các nhà phát triển cần tuân thủ nghiêm ngặt các nguyên tắc sau:

• Loại bỏ Pickle: Tuyệt đối không sử dụng pickle để deserialization dữ liệu từ phía người dùng hoặc các nguồn không tin cậy. Hãy sử dụng các định dạng an toàn hơn như JSON kết hợp với kiểm tra lược đồ (schema validation).
• Tách biệt khóa bảo mật: Không bao giờ tái sử dụng khóa bí mật OAuth hoặc các thông tin nhạy cảm khác làm khóa ký phiên (session signing key).
• Lưu trữ phía máy chủ: Chuyển đổi cơ chế lưu trữ trạng thái phiên từ cookie phía trình duyệt sang lưu trữ phía máy chủ (server-side storage) để giảm thiểu rủi ro bị can thiệp.
• Xoay vòng khóa định kỳ: Thực hiện quy trình xoay vòng khóa bí mật thường xuyên để hạn chế tác động nếu khóa bị lộ.

Google đã thực hiện các biện pháp khắc phục bao gồm xoay vòng khóa bí mật OAuth, vô hiệu hóa các phiên cũ và chuyển đổi cấu trúc lưu trữ dữ liệu OAuth sang phía máy chủ. Đây là một bài học quan trọng về việc bảo mật các thành phần trung gian trong kiến trúc ứng dụng web hiện đại.

⚠️ Cảnh báo quan trọng: Việc sử dụng các thư viện deserialization không an toàn như pickle trong môi trường sản xuất là một rủi ro bảo mật cực kỳ cao. Các tổ chức cần rà soát lại toàn bộ mã nguồn để đảm bảo không có dữ liệu từ người dùng được đưa vào các hàm xử lý đối tượng không an toàn.