Google修补Gmail数据外泄漏洞

ljlxl

Google日前表示，出现在旗下若干服务、可能造成Gmail用户通讯簿外泄的安全瑕疵，已经完成修补。

根据"Googling Google"博客的描述，攻击者可制作一个恶意网站复制整个Gmail用户的通讯簿，形成垃圾邮件厂商的宝库。使用者只要单纯登入Gmail或其它Google服务就可能受害。

Google观察人员Haochi Chen在上周末检查Google Video功能时发现上述问题。该服务的"Pick People to Email"，可让使用者邮寄视频给Gmail通讯簿中的联络人。但他发现，该功能也会造成通讯簿对外开放。

Chen在新年周末紧急通知Google。Google信息安全经理Heather Adkins也证实，公司在接到消息后的几小时内就解决问题。之后发现该瑕疵也影响其它服务，但也在一天之内完成修补。她表示：“就我们所知，该弱点并未被利用，且没有使用者被影响。”

Adkins表示，问题出在Google使用少量数据互换格式JavaScript Object Notation（简称JSON）对象的方式。她说：“这些对象若遭到误用，可能在无意间泄漏信息。”

Google经常需要修补各项服务的瑕疵，其中多是网络应用软件内的较新型的弱点，例如有助诈骗者发动钓鱼攻击的跨站指令错误。此外，JavaScript相关的弱点也能帮助恶徒发动大规模攻击和恶意链接。

如同一般的软件厂商，Google也呼吁抓错专家采取负责任的揭露方式，允许公司有一段时间解决问题。Adkins说：“负责的揭露能让Google这类公司确保使用者的安全，在引起恶徒注意前修补弱点并解决安全顾虑。”