このハッキングは、長い間知られている脆弱性XXE （XML外部エンティティ処理）に基づいていました。
この「ホール」により、外部エンティティを埋め込むことができます。たとえば、ファイルの個々の部分をダウンロードできますが、ハッカーが回路に任意のコードを埋め込むことができる場合、サーバー上の任意のファイルを読み取るなど、深刻な結果につながる可能性があります。
全体の欠点は、Googleサービスの1つ、つまりツールバーボタンギャラリーでした。 研究者は 、ツールバーのセットアップの便宜上、ユーザー設定を使用したXMLファイルのアップロードが許可されていることを発見しました。 コードの特別なセクションをファイルに挿入してサーバーにアップロードすることで、ハッカーは必要なデータを取得し、XXEは機能しました。
セキュリティガードは、
/etc/passwd
および
/etc/hosts
ファイルの読み取りという形で脆弱性を示すことに限定しましたが、脆弱性の可能性はこれに限定されません。 たとえば、XXEを使用すると、サービス拒否、SSRF、および適切なアプローチを使用して、ターゲットサーバーで任意のコードを実行することができました。 見つかった脆弱性に対する報酬プログラムの下で、Googleは研究者に10,000ドルの報酬を支払った。