セキュリティ研究者のSreeram KL氏は12月27日(米国時間)、「[Google VRP] Hijacking Google Docs Screenshots」において、Googleドキュメントにスクリーンショットを窃取できる脆弱性が存在していたと伝えた。この脆弱性を悪用されると、閲覧しているドキュメントのスクリーンショットが窃取される危険性があるとされている。

GoogleドキュメントなどGoogleのWebアプリケーションにはGoogleへバグなどの報告するための機能が用意されている。この機能を使用しようとすると、アプリケーション画面のスクリーンショットが自動的に取得され、送信に含められるようになる（含めないようにすることもできる）。

  • Googleにバグなどのフィードバックを報告するためのメニュー

    Googleにバグなどのフィードバックを報告するためのメニュー

  • 自動的にスクリーンショットを取得して送信準備が整えられる

    自動的にスクリーンショットを取得して送信準備が整えられる

脆弱性を発見した研究者は、Googleドキュメントのこのスクリーンショットを取得する機能を理解するとともに、Webブラウザの挙動を組み合わせることでスクリーンショットを取得できることを発見した。ユーザーがバグを報告するというアクションが必要になるものの、細工したサイトを用意することでユーザーが編集していたWebブラウザ画面のスクリーンショットが窃取できた可能性がある。

「A Google Docs Bug Could Have Allowed Hackers See Your Private Documents」の報告によると、この脆弱性は2020年7月9日(米国時間)に発見され、すでにGoogleによって修正されている。