Issue Tracker est un outil utilisé en interne chez Google pour le suivi de fonctionnalités et de bugs pendant le développement d'un produit. Il est également disponible pour des partenaires et développeurs tiers afin de pouvoir collaborer sur certains projets.
Chercheur en sécurité, Alex Birsan explique que si quelqu'un a un problème avec un produit Google, il se rend dans Issue Tracker. Toutefois, la majorité des bugs hébergés peuvent seulement être consultés par des employés de Google, et certains par seulement quelques équipes.
L'homme a été récompensé par Google avec plus de 15 600 $ pour avoir débusqué trois failles dans Issue Tracker. Elles ont été corrigées. Pour Alex Birsan, une de ces failles était le " Saint Graal des bugs de Google. " Elle aurait permis à un attaquant d'accéder à des vulnérabilités 0day dans des produits Google.
Alex Birsan reconnaît toutefois que même si un attaquant aurait pu avoir accès à des rapports de bugs sensibles, il aurait été très difficile d'identifier des vulnérabilités exploitables. Il a en tout cas mis au jour une méthode JavaScript permettant via une requête POST de passer outre des privilèges limités. Il livre des détails dans un billet sur Medium.
Récemment, Reuters a rapporté un incident de sécurité datant de 2013 qui avait affecté Microsoft et son système interne de suivi des bugs.
