Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca
Red Hot Cyber Academy

Falla su YouTube: Scoperta una vulnerabilità che espone gli indirizzi email!

Redazione RHC : 14 Febbraio 2025 15:49

Gli sviluppatori di Google hanno risolto due vulnerabilità che, se combinate, potrebbero esporre gli indirizzi email degli account YouTube. Le vulnerabilità sono state scoperte da ricercatori indipendenti con i nickname Brutecat e Nathan, i quali hanno notato che le API di YouTube e Pixel Recorder potevano essere utilizzate per esporre gli identificatori di Google e poi convertirli negli indirizzi email degli utenti.

La prima parte di questo attacco è avvenuta perché BruteCat ha esaminato la Google Internal People API e ha scoperto che la funzionalità di blocco dell’intera rete di Google richiedeva un ID Gaia offuscato e un nome visualizzato per funzionare.

Gaia ID è un identificatore interno univoco utilizzato da Google per gestire gli account sui propri siti. Poiché gli utenti registrano un unico Account Google che utilizzano su tutti i siti Google, questo ID è lo stesso per Gmail, YouTube, Google Drive e altri servizi Google. Questo ID non è destinato all’uso pubblico e viene utilizzato per lo scambio interno di dati tra i sistemi di Google.

Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)

Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:

  • Creare Un Sistema Ai Di Visual Object Tracking (Hands on)
  • Social Engineering 2.0: Alla Scoperta Delle Minacce DeepFake
  • Doxing Con Langflow: Stiamo Costruendo La Fine Della Privacy?
  • Come Hackerare Un Sito WordPress (Hands on)
  • Il Cyberbullismo Tra Virtuale E Reale
  • Come Entrare Nel Dark Web In Sicurezza (Hands on)

  • Potete iscrivervi gratuitamente all'evento, che è stato creato per poter ispirare i ragazzi verso la sicurezza informatica e la tecnologia.
    Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765


    Supporta RHC attraverso:


    Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

    Durante l’indagine sulla funzionalità di blocco di YouTube, BruteCat ha scoperto che il tentativo di bloccare qualcuno nella chat di YouTube rivela l’ID Gaia offuscato dell’utente nella risposta alla richiesta API /youtube/v1/live_chat/get_item_context_menu. La risposta conteneva dati codificati in base64 che, una volta decodificati, rivelavano l’ID Gaia dell’utente specifico.

    I ricercatori hanno scoperto che cliccando semplicemente sul menu a tre punti in una chat si attiva una richiesta in background all’API di YouTube, consentono l’accesso agli identificatori anche senza essere effettivamente bloccati. Modificando la chiamata API, i ricercatori sono riusciti a ottenere l’ID Gaia per qualsiasi canale YouTube, compresi quelli che desideravano rimanere anonimi.

    I ricercatori hanno quindi deciso di convertire l’ID Gaia in un indirizzo email. Tuttavia, le API in grado di farlo erano obsolete e non funzionavano più, così BruteCat e Nathan hanno iniziato a cercare servizi Google vecchi e obsoleti che potessero essere sfruttati. Alla fine, Nathan ha scoperto che Pixel Recorder ha un’API che può essere utilizzata per convertire l’ID in un indirizzo email quando si pubblica una registrazione.

    Ciò significava che una volta ottenuto un ID Gaia per un utente YouTube specifico, quell’ID poteva essere trasmesso alla funzione di condivisione dati di Pixel Recorder, che avrebbe rivelato l’indirizzo email associato a quell’ID, compromettendo potenzialmente milioni di utenti YouTube.

    “La fuga di dati di Gaia ID avviene in più prodotti Google diversi da YouTube (Maps, Play, Pay), il che rappresenta un rischio significativo per la privacy di tutti gli utenti Google, poiché questi ID possono essere utilizzati per rivelare l’indirizzo email associato a un account Google”, hanno spiegato i ricercatori alla pubblicazione.

    Sebbene i ricercatori abbiano trovato un modo per ottenere indirizzi e-mail tramite Gaia ID, Pixel Recorder ha avvisato gli utenti del file condiviso, il che avrebbe potuto mettere in guardia la vittima da attività dannose. P

    Redazione
    La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

    Lista degli articoli

    Articoli in evidenza

    Attenti italiani! Una Finta Multa da pagare tramite PagoPA vuole svuotarti il conto

    Una nuova campagna di phishing sta circolando in queste ore con un obiettivo ben preciso: spaventare le vittime con la minaccia di una multa stradale imminente e gonfiata, apparentemente proveniente d...

    Italia sarai pronta al Blackout Digitale? Dopo La Spagna l’attacco informatico alla NS Power

    Negli ultimi giorni, NS Power, una delle principali aziende elettriche canadesi, ha confermato di essere stata vittima di un attacco informatico e ha pubblicato degli update all’interno della H...

    Sicurezza è Lavoro: dal cantiere al cloud, dobbiamo proteggere chi costruisce l’Italia!

    1° Maggio, un giorno per onorare chi lavora, chi lotta per farlo in modo dignitoso e chi, troppo spesso, perde la vita mentre svolge la propria mansione. Nel 2025, l’Italia continua a pian...

    Buon World Password Day! Tra MIT, Hacker, Infostealer e MFA. Perchè sono così vulnerabili

    Domani celebreremo uno degli elementi più iconici – e al tempo stesso vulnerabili – della nostra vita digitale: la password. Da semplice chiave d’accesso inventata negli anni...

    Benvenuti su Mist Market: dove con un click compri droga, identità e banconote false

    Ci sono luoghi nel web dove la normalità cede il passo all’illecito, dove l’apparenza di un marketplace moderno e funzionale si trasforma in una vetrina globale per ogni tipo di rea...