Google: troppe vulnerabilità nell'App Engine?

App Engine, il servizio PaaS (Platform-as-a-Service) alla base di molte delle offerte Cloud di Google, sarebbe letteralmente ripieno di bachi e vulnerabilità potenzialmente molto pericolose per la sicurezza di codice, applicazioni e dati dei clienti/utenti.

Adam Gowdiak, il ricercatore che ha scovato le lacune di App Engine assieme ai colleghi di Security Explorations, sosterrebbe di essere ora in grado di bypassare completamente la sandbox di Java VM e quindi di compromettere la piattaforma.

Le vulnerabilità sin qui individuate ammonterebbero a 30 e più, ha spiegato Gowdiak, e includerebbero problemi gravi come la possibilità di eseguire codice nativo al di fuori della sandbox di Java VM, l’accesso ai file (binari e classi) inclusi nella sandbox JER, l’estrazione di metadati dalle VM e altri ancora.

In realtà il lavoro di Gowdiak non è ancora terminato, e le attività di ricerca sono al momento sospese così come sospeso risulta l’account del ricercatore su App Engine. Un caso forse dovuto all’apparente caratteristica “malevola” delle azioni dell’esperto, che ora spera di poter continuare a scovare bachi sulla piattaforma con il beneplacito di Mountain View.

Via | The Register