google logo

[Bug Bounty] Google GMail Code Verification Bypass



Pensavate che eravamo spariti nel nulla? Ed invece no, stavamo semplicemente lavorando ad una serie di vulnerabilità gravissime trovate su GMail e segnalate al team di Google, ma senza nessuna soluzione.

In pratica è possibile creare infiniti account GMail verificati con lo stesso numero di telefono, anche se bannato.

Insomma una manna dal cielo per gli spammers.

La vulnerabilità è sfruttabile ed è stata testata sul Browser di default di Android 2.3.6 (nelle versioni superiori non funziona), ed ho utilizzato due vecchi smartphone per questo: LG E400 e Samsung Galaxy W GT-I8150.

In pratica la falla è semplicissima da sfruttare:
1 – Aprite il Browser di default su Android 2.3.6;
2 – Andate su https://gmail.com e provate a creare un nuovo account;
3 – Inserite tutti i dati per la creazione dell’account, compreso il numero di telefono bannato (perchè utilizzato troppe volte per creare account GMail), ed andate avanti;
4 – Vi uscirà un menu da scorrere per l’informativa della privacy, quindi alla fine del testo cliccate sul bottone blu a destra per accettare ed andare avanti;
5 – Vi chiederà la verifica via SMS sul numero bannato, eseguitela come se nulla fosse;
6 – Una volta verificato il numero di telefono non aprite GMail, ma eliminate nel Browser la cronologia, i dati dei moduli, le password, ecc…
7 – Aprite GMail da un normale PC ed è fatta.

Il Samsung Galaxy W GT-I8150 l’ho aggiornato a Cyanogenmod 12.1 (Android 5.1.1) e la vulnerabilità non funziona più, quindi continuo a sfruttarla con lo smartphone LG-E400.

Per informazioni contattate il Bug Hunter davenull all’indirizzo dave-null@riseup.net

Happy Hacking!!!



Leave a comment