我在Google发现9万美元RCE漏洞

I Found a $90k Remote Code Execution Vulnerability in Google

我在梳理Google开发者文档共享的OAuth流程时，发现了一个异常的Flask session cookie。解码后发现其中不仅包含pickle序列化的对象，还明文泄露了OAuth的client_secret。更致命的是，这个secret同时被用作Flask的签名密钥。这意味着攻击者可以伪造任意session，利用pickle.loads实现远程代码执行。我通过构造time.sleep载荷验证了漏洞，该漏洞影响范围覆盖firebase.google.com等多个Google开发者平台。最终，Google修复了问题并向我支付了9万美元奖金。