Im WordPress-Plugin des Google Site Kit wurde eine Sicherheitslücke entdeckt und anschließend behoben.
Die Sicherheitsanfälligkeit ermöglicht es einem Angreifer, die Site-Berechtigungen zu erweitern und die Sichtbarkeit der Opfersuche anzugreifen, Sitemaps zu ändern und vieles mehr.
WordPress Plugin für Google Site Kit
Die Sicherheitsanfälligkeit betrifft das Google Site Kit. Google Site Kit ist ein Google WordPress.
Google Site Kit zeigt Informationen zu Ihrer Website im WordPress-Administrationsbereich an. Fügen Sie Informationen aus der Google Search Console (GSC), Google Analytics, AdSense, Page Speed Insights und anderen Google-Tools hinzu.
WordFence-Forscher (@wordfence) haben die Sicherheitsanfälligkeit entdeckt, Google benachrichtigt und nach der Aktualisierung des Plugins eine Erklärung abgegeben.
Laut Ankündigung:
„Dies wird als kritisches Sicherheitsproblem angesehen, das dazu führen kann, dass Angreifer Eigentümerzugriff auf die Website in der Google Search Console erhalten.
Mit dem Eigentümerzugriff kann ein Angreifer Sitemaps ändern, Seiten von den Ergebnisseiten der Google-Suchmaschine (SERP) entfernen oder Black-Hat-SEO-Kampagnen durchführen. “”
Google Site Kit ist ein WordPress-Plugin, das Google AdSense-, Analytics- und GSC-Daten im WordPress-Administrationsbereich anzeigt.
Sicherheitsanfälligkeit bezüglich Eskalation von Berechtigungen
Die Sicherheitsanfälligkeit, die Google Site Kit betrifft, ist eine Eskalation der Ausnutzung von Berechtigungen. Für diese Art der Ausnutzung muss sich ein Angreifer bei der WordPress-Site anmelden (z. B. als Abonnent), um eine Sicherheitsverletzung auszunutzen.
In der Regel verfügt ein auf Abonnentenebene registrierter Benutzer über minimale Berechtigungen für eine Website. Die Sicherheitsanfälligkeit ermöglicht es einem Angreifer jedoch, Administratorrechte auf Site-Ebene zu erlangen, um seine Site-Zugriffsrechte zu erhöhen.
Die Sicherheitsanfälligkeit wurde am 21. April 2020 von der WordFence-Sicherheitsforscherin Chloe Chamberland entdeckt und am selben Tag an Google gemeldet. Google hat am 7. Mai 2020 einen Patch veröffentlicht
Laut Chloe Chamberland, Vulnerabilitätsforscherin bei WordFence:
„Das Verbinden von zwei Systemen wie einer WordPress-Site und den proprietären Site-Tools von Google birgt immer ein gewisses Risiko. Die Gewährleistung der Integration zwischen den beiden Systemen ist von entscheidender Bedeutung.
Wenn Unternehmen wie Google eine leicht zu findende Richtlinie zur Offenlegung von Sicherheitslücken haben, können Forscher damit Endbenutzerprobleme schnell lösen. Mit zunehmender Reife veröffentlichen immer mehr Entwickler Clear Vulnerability Disclosure Policies. Sie müssen jedoch mehr tun, um sicherzustellen, dass Sicherheitsforscher und Entwickler schnell eine Verbindung herstellen und das Web für alle sicherer machen können. “”
Abonnenten des WordFence Premium-Sicherheits-Plug-Ins werden am selben Tag, an dem es entdeckt wurde, Wochen bevor Google den Patch veröffentlichte, vor dieser Sicherheitsanfälligkeit geschützt.
Anzeige
LESEN SIE UNTEN WEITER
Betroffene Versionen des Google Site Kit
Diese Sicherheitsanfälligkeit betrifft Versionen von Google Site Kit, die niedriger als Version 1.8.0 sind.
Google Site Kit 1.8.0 wurde vollständig behoben. Es wird dringend empfohlen, dass Benutzer ihr Plugin sofort aktualisieren.
Das Änderungsprotokoll für das WordPress-Plugin von Google Site Kit zeigt deutlich an, dass Version 1.8.0 ein Sicherheitsupdate enthält, und empfiehlt den Benutzern dringend, ein Update durchzuführen.
Lesen Sie die offizielle Ankündigung:
Die Sicherheitsanfälligkeit im Google WordPress-Plugin gewährt Zugriff auf die Suchkonsole des Angreifers
