Сервис записи созвонов полгода отдавал чужие встречи любому желающему

tl;dv сажает бота в ваш Google Meet или Zoom, чтобы тот записывал, расшифровывал и пересказывал встречи. Два миллиона пользователей, шесть значков соответствия стандартам на странице безопасности. И коллекция встреч в Firestore без разделения по аккаунтам: любой зарегистрированный пользователь мог выгрузить встречи всей платформы — почту создателя, время, статус и идентификатор конференции.

Причём идентификатор ведёт и в живые комнаты. Исследователь взял его у встречи со статусом «идёт запись» и вошёл в презентацию Министерства образования Малайзии на 157 участников. Бот tl;dv уже сидел в списке участников.

Всего в базе нашлось 181 874 встречи от 84 312 пользователей. Остальные коллекции, от чатов и расшифровок до команд, правилами доступа закрыты как надо. Забыли ровно одну.

О дыре сообщили 28 января, но в конце июля она всё ещё работала.

#безопасность