Hacker News Digest

tl;dv — платформа для записи и анализа встреч — оставила открытый доступ к базе Firestore, где хранятся данные о всех проведённых звонках. База доступна без дополнительной авторизации: любой пользователь может запросить коллекцию meetings, получить email создателя, идентификатор конференции и статус записи. При статусе recording идентификатор превращается в живой Google Meet или Teams-комнату, которую можно присоединиться без приглашения. На момент публикации в базе находилось около 1 000 активных записей, что позволяет атаковать тысячи реальных звонков одновременно.

Атака продемонстрировала, что в базе находятся встречи из 23 государственных органов, десятков университетов (включая Беркли и Токийский) и корпоративных клиентов крупных компаний (Mitsui, HubSpot, Confluent и др.). По данным автора, всего собрано 181 874 записи от 84 312 уникальных пользователей на 35 003 доменах. Несмотря на многочисленные обращения к CTO, уязвимость оставалась неисправленной более полугода, тогда как остальные коллекции Firestore уже защищены правилами доступа. Исправление требовало лишь включения tenant‑изоляции для коллекции meetings.