Google заплатила $90 000 за RCE в DevSite и чинила баг два месяца

Инженер Simon Köck нашёл неаутентифицированный RCE в инфраструктуре DevSite: переиспользованный OAuth-секрет подписывал Flask-сессию, а pickle-десериализация позволяла выполнить код. Google присвоила уязвимости уровень S0 и выплатила $90 000, но патч вышел только 7 октября — через два месяца после отчёта.

• Уязвимость затрагивала семь доменов Google, публично подтверждён только developers.google.com
• Секрет OAuth использовался как ключ подписи Flask-сессии и был зашит в cookie
• Выплата $90 000: база $75 000 за S0 RCE и множитель 1,2 за качество отчёта
• Отчёт подан 6 августа, баунти одобрен 27 августа, фикс развёрнут 7 октября