🔎 Утечка электронной почты любого пользователя YouTube за $10k

Багхантер исследовал Google Internal People API и обнаружил, что функция блокировки пользователей использует обфусцированный Gaia ID (уникальный идентификатор Google-аккаунта). Оказалось, YouTube позволяет блокировать пользователей, что автоматически добавляет их в Google Blocklist.

➡️ В итоге получаем следующую цепочку атаки:

1️⃣ Получение Gaia ID любого пользователя YouTube:

— Достаточно заблокировать пользователя на YouTube через live-чат.
— В Google Blocklist появится его обфусцированный Gaia ID.

2️⃣ Масштабирование атаки на всех пользователей YouTube:

— При нажатии трёх точек рядом с комментарием в чате отправляется запрос:

POST /youtubei/v1/live_chat/get_item_context_menu

— Ответ содержит обфусцированный Gaia ID пользователя без необходимости блокировать его.
— Это позволяло получить Gaia ID любого YouTube-канала.

3️⃣ Преобразование Gaia ID в email-адрес:

— Исследователь нашёл старый сервис Google Pixel Recorder.
— Этот сервис позволял поделиться записью, используя Gaia ID.
— В ответе сервера вместо Gaia ID возвращался email-адрес.

4️⃣ Обход уведомления жертвы:

— При отправке записи пользователь получал уведомление на email.
— Но если название записи было очень длинным (миллионы символов), уведомление не отправлялось.
— Это позволило получить email жертвы без её ведома.

#writeup #bugbounty