Simon Koeck, investigador de seguridad, ha documentado una vulnerabilidad crítica de ejecución remota de código (RCE) en la plataforma de desarrolladores de Google, que le ha permitido obtener un premio de 90.000 dólares. El fallo se originó en una cookie de sesión de Flask en developers.google.com, donde la clave secreta de OAuth se almacenaba en texto plano dentro del objeto que firmaba la cookie. Al extraer esta clave, Koeck pudo forjar sesiones válidas en siete dominios de Google, incluyendo firebase.google.com y developer.android.com, permitiendo la ejecución de código no autorizado en los servidores de la empresa.
El investigador identificó que el formato de cookie de Flask, que utiliza serialización pickle, permitía manipular el estado de la sesión sin autenticación una vez comprometida la clave de firma. Koeck probó la vulnerabilidad utilizando una función de tiempo para demostrar el control total sobre la ejecución, confirmando que el servidor procesaba el payload malicioso. La corrección del problema requirió rotar las claves de OAuth expuestas, aislar las claves de sesión de las credenciales de OAuth y eliminar el uso de pickle en datos que cruzan la frontera del cliente. Este incidente destaca la importancia de separar las claves de firma de las credenciales de aplicación y de evitar la serialización insegura en componentes de sesión.