Youtube è certamente la piattaforma video più attraversata da bug curiosi, tra cui uno che causò, durante l’estate passata, un tracollo del counter di visite del videoclip di Gangnam Style: dopo aver oltrepassato i due miliardi di visualizzazioni, la rappresentazione a 32 bit che teneva conto delle cifre generate dal popolarissimo video, ha ceduto ed ha costretto Google a “ripensare” il counter.
Un altro caso di bug di sicuro interesse, tuttavia non così divertente come quello relativo a Gangnam Style, è stato recentemente scoperto da parte di Kamil Hismatullin, uno studioso e ricercatore russo di security online che avrebbe trovato un modo per cancellare la totalità dei video contenuti nella popolare piattaforma.
La vulnerabilità di sicurezza in questione è stata ora corretta nei minimi particolari, tuttavia ha causato il panico nella maggior parte degli utenti che tendono a caricare video con una certa frequenza.
La natura di questo bug, così come spiegata da Hismatullin stesso, risiederebbe in una vulnerabilità simile a quella già rilevata in precedenza su Facebook, anch’essa corretta, relativa ad un malfunzionamento in grado di cancellare ogni foto contenuta negli album dei nostri contatti, semplicemente inviando una richiesta HTTP di poche righe all’indirizzo graph.facebook.com, inserendo poi un token di accesso a Facebook per Android.
Lo studioso si è reso conto di avere quindi tra le mani una potenziale “bomba atomica virtuale”, che avrebbe potuto in breve tempo cancellare ogni singolo contenuto di Youtube così come è conosciuto. Tuttavia, ha preferito scrivere a Google indicando gli estremi del bug, risparmiando, come ironicamente ha commentato, “tutti i video di Justin Bieber dalla cancellazione totale”.
La procedura di exploit, nonostante ora non sia più funzionante, è stata descritta dallo stesso Hismatullin; così come in Facebook era sufficiente inviare ai server Google una richiesta POST unita ad un parametro particolare, “action_delete_live_event” accompagnata inoltre dai due identificatori “event_id” e, come accaduto sul social network di Zuckerberg, “session_token”.
La “cattura” di questo bug devastante è valsa al ricercatore una modestissima ricompensa da parte di Google, certamente sproporzionata rispetto alla falla server identificata.
Youtube è quindi almeno per ora al sicuro: quali saranno i prossimi bug che prenderanno di mira la piattaforma? Ci auguriamo, insieme a voi, che un eventuale nuova vulnerabilità non renda il luogo più popolare al mondo per il video sharing una vera e propria “tabula rasa”.
Lascia un commento