Sicherheitslücke im Google Site Kit WordPress Plugin

Eine Sicherheitslücke wurde im WordPress-Plugin des Google Site Kit entdeckt und später gepatcht.

Die Sicherheitsanfälligkeit ermöglicht es einem Angreifer, Site-Berechtigungen zu erweitern und die Suchsichtbarkeit der Opfer anzugreifen, Site-Maps zu ändern und vieles mehr.

WordPress-Plugin für Google Site Kit

Die Sicherheitsanfälligkeit betrifft das Site Kit von Google. Google Site Kit ist ein Google WordPress.

Google Site Kit zeigt Informationen zu Ihrer Website im WordPress-Administrationsbereich an. Fügen Sie Informationen aus der Google Search Console (GSC), Google Analytics, AdSense, Page Speed ​​Insights und anderen Google-Tools hinzu.

WordFence-Forscher (@wordfence) haben die Sicherheitsanfälligkeit entdeckt, Google benachrichtigt und nach der Aktualisierung des Plugins eine Ankündigung veröffentlicht.

Laut Ankündigung:

"Dies wird als kritisches Sicherheitsproblem angesehen, das dazu führen kann, dass Angreifer Eigentümerzugriff auf ihre Website in der Google Search Console erhalten.

Mit dem Eigentümerzugriff kann ein Angreifer Sitemaps ändern, Seiten von den Ergebnisseiten der Google-Suchmaschine (SERP) entfernen oder Black-Hat-SEO-Kampagnen durchführen. "

Google Site Kit ist ein WordPress-Plugin, das Google AdSense-, Analytics- und GSC-Daten im WordPress-Administrationsbereich anzeigt.

Sicherheitsanfälligkeit bezüglich Eskalation von Berechtigungen

Die Sicherheitsanfälligkeit, die Google Site Kit betrifft, ist ein Exploit zur Eskalation von Berechtigungen. Für diese Art der Ausnutzung muss ein Angreifer auf der WordPress-Site registriert sein (z. B. als Abonnent), um eine Sicherheitslücke auszunutzen.

In der Regel verfügt ein auf Abonnentenebene registrierter Benutzer über minimale Berechtigungen für eine Website. Die Sicherheitsanfälligkeit ermöglicht es einem Angreifer jedoch, Administratorrechte auf Site-Ebene zu erhalten, um seine Site-Zugriffsrechte zu erweitern.

Die Sicherheitsanfälligkeit wurde am 21. April 2020 von der WordFence-Sicherheitsforscherin Chloe Chamberland entdeckt und am selben Tag an Google gemeldet. Google hat am 7. Mai 2020 einen Patch veröffentlicht

Laut der WordFence-Schwachstellenforscherin Chloe Chamberland:

„Das Verbinden von zwei Systemen, wie einer WordPress-Site und den proprietären Site-Tools von Google, birgt immer ein gewisses Risiko. Es ist von entscheidender Bedeutung, sicherzustellen, dass die Integration zwischen beiden Systemen gewährleistet ist.

Wenn Unternehmen wie Google eine leicht zu findende Richtlinie zur Offenlegung von Sicherheitslücken haben, können Forscher damit Endbenutzerprobleme schnell beheben.
Mit zunehmender Reife veröffentlichen immer mehr Entwickler Clear Vulnerability Disclosure Policies. Es muss jedoch noch mehr getan werden, um sicherzustellen, dass Sicherheitsforscher und Entwickler schnell eine Verbindung herstellen und das Web für alle sicherer machen können. ""

Abonnenten des WordFence Premium-Sicherheits-Plugins wären am selben Tag, an dem es entdeckt wurde, Wochen bevor Google den Patch veröffentlichte, vor dieser Sicherheitsanfälligkeit geschützt gewesen.

ANZEIGE

LESEN SIE UNTEN WEITER

Betroffene Google Site Kit-Versionen

Diese Sicherheitsanfälligkeit betrifft Versionen von Google Site Kit, die niedriger als Version 1.8.0 sind.

Google Site Kit 1.8.0 wurde vollständig gepatcht. Es wird dringend empfohlen, dass Benutzer ihr Plugin sofort aktualisieren.

Das Änderungsprotokoll des Google Site Kit WordPress-Plugins zeigt deutlich an, dass Version 1.8.0 ein Sicherheitsupdate enthält, und empfiehlt den Benutzern dringend, ein Update durchzuführen.

Lesen Sie die offizielle Ankündigung:

Die Sicherheitsanfälligkeit im Google WordPress-Plugin gewährt Zugriff auf die Suchkonsole des Angreifers