我在Google发现了一个价值9万美元的远程代码执行漏洞

📋总体概括

安全研究人员Simon Koeck披露了其在Google开发者文档站点DevSite中发现的一个远程代码执行漏洞，据称获得约9万美元赏金。漏洞根源在于该站点基于Flask框架，且会话数据使用pickle进行反序列化处理。当攻击者能够操纵会话内容时，恶意序列化数据在服务端被还原执行，即可实现任意代码执行。这是Python Web开发中经典的pickle反序列化风险在大型公司生产环境中的真实案例，说明即便是Google这类安全投入巨大的企业，仍可能在老组件和遗留配置中留下高危隐患。