四个Google Cloud Platform(GCP)项目中的漏洞为一对安全研究人员赢得了超过22000美元的漏洞赏金。黑客二人组Sreeram KL和Sivanesh Ashok最赚钱的项目是机器学习培训和部署平台Vertex AI，他们因服务器端请求伪造(SSRF)错误和随后的补丁绕过获得了5000 美元的报酬。Sreeram的博客文章中记录了该缺陷存在于Vertex AI的工作台功能中，该功能支持在云上创建基于Jupyter笔记本的开发环境。通过滥用SSRF漏洞并诱骗受害者点击恶意URL，攻击者可能会夺取授权令牌的控制权，然后控制受害者的所有GCP项目。

如下面的视频所示：

当研究人员发现一个似乎为SSRF提供范围的URL时，“请求原始URL得到的响应看起来像是发送到 compute.googleapis.com的经过身份验证的请求的输出，”Sreeram说。“根据以前的经验，我知道这些端点使用授权标头作为凭据。”

模糊测试显示了一个URL – https://{INSTANCE-ID}-dot-us-central1.notebooks.googleusercontent.com/aipn/v2/proxy/{attacker.com}/compute.googleapis.com/ –绕过了这个检查, 斯里拉姆说。“此外，易受攻击的端点是一个没有CSRF保护的GET请求（很常见），”Sreeram说。

至于寻找攻击目标，受害者的子域很容易确定，因为子域被泄露到几个第三方域，例如github.com，“通过一般应用程序流程中的referer”。

Google通过向GET端点添加跨站点请求伪造(CSRF)保护并改进域验证来解决此问题。

然而，在修复推出后，Sreeram和Ashok注意到将compute.googleapis.com更改为something.google.com未能像以前那样触发错误。

他们推测，因此需要在 *.google.com中进行开放重定向才能绕过该修复程序。

由于无法使用基于JavaScript的重定向——因为服务器不解析语言——他们求助于Google网络提要管理服务FeedBurner。研究人员发现，当用户停用代理时，该服务会将 URL 重定向到他们的域，而不是代理他们的 RSS 提要。

该漏洞以CSRF绕过结束，该绕过利用了“@s1r1us”在2020年针对Jupyter Lab开发的一项技术。

第二个修复涉及终止支持*.google.com作为代理URL。

“在发现这个问题的同时，我们深入了解了托管GCP产品的工作原理，这有助于我们发现GCP中的其他错误，”

这包括再次利用Theia中的工作台功能，Theia是谷歌在Cloud Shell中使用的集成开发环境(IDE)，正如Sreeram发布的另一篇博文中所披露的那样。

由于用户管理的实例使用项目的默认计算引擎服务帐户，因此研究二人组能够通过利用已知的XSS漏洞(CVE-2021-41038)从元数据服务器获取服务帐户令牌来破坏整个项目。这为两人赢得了3133.70美元的额外赏金。

正如Ashok所记录的，他们在GCP中发现的第一个安全漏洞是谷歌云计算引擎中的SSH密钥注入问题。

该漏洞存在于SSH-in-browser功能中，并可能导致受害者的Compute Engine实例中的远程代码执行(RCE)（如上面的概念验证视频所示），从而获得5000美元的意外收获和1000美元的赏金.

研究人员还通过绕过Cloud Workstations的授权获得了3133.70美元，这为对安全敏感的企业提供了完全托管的开发环境。Ashok在第四篇博文中概述了这一发现。

两人从六次独立的漏洞赏金支出中总共获得了22267美元。