Plugin WordPress Google Site Kit Rentan

Kerentanan ditemukan di plugin WordPress Google Site Kit dan sejak itu telah ditambal.

Kerentanan memungkinkan penyerang untuk meningkatkan hak istimewa situs dan menyerang visibilitas pencarian korban, mengubah peta situs, dan banyak lagi.

Plugin WordPress untuk Google Site Kit

Kerentanan memengaruhi Google Sites Suite. Google Site Kit adalah Google WordPress.

Google Site Kit menampilkan informasi tentang situs Anda di panel admin WordPress. Informasi lebih lanjut dari Google Search Console (GSC), Google Analytics, AdSense, PageSpeed ​​​​Insights, dan alat Google lainnya.

Peneliti WordFence (@wordfence) menemukan kerentanan, memberi tahu Google, dan kemudian memposting pemberitahuan setelah memperbarui plugin.

Menurut pengumuman:

“Ini dianggap sebagai masalah keamanan penting yang dapat menyebabkan penyerang mendapatkan akses pemilik ke situs mereka di Google Search Console.

Akses pemilik memungkinkan penyerang untuk memodifikasi peta situs, menghapus halaman dari halaman hasil mesin pencari Google (SERP), atau memfasilitasi kampanye SEO topi hitam. “

Google Site Kit adalah plugin WordPress yang menampilkan data Google AdSense, Analytics, dan GSC di area admin WordPress.

Kerentanan Eskalasi Hak Istimewa

Kerentanan yang memengaruhi Google Site Kit adalah eksploitasi eskalasi hak istimewa. Jenis eksploitasi ini mengharuskan penyerang terdaftar di situs WordPress (misalnya sebagai pelanggan) untuk memanfaatkan kerentanan.

Biasanya, pengguna yang terdaftar di tingkat berlangganan memiliki hak istimewa minimal di situs web. Namun, kerentanan memungkinkan penyerang untuk mendapatkan hak istimewa admin tingkat situs untuk meningkatkan hak akses situs mereka.

Kerentanan itu ditemukan oleh peneliti keamanan WordFence Chloe Chamberland pada 21 April 2020 dan dilaporkan ke Google pada hari yang sama. Google merilis tambalan pada 7 Mei 2020

Menurut peneliti kerentanan WordFence Chloe Chamberland:

Menghubungkan dua sistem, seperti situs WordPress dan alat situs web milik Google, selalu membawa beberapa tingkat risiko. Memastikan bahwa integrasi antara kedua sistem dipastikan sangat penting.

Ketika perusahaan seperti Google memiliki kebijakan pengungkapan kerentanan yang mudah ditemukan, ini membantu peneliti untuk memperbaiki masalah pengguna akhir dengan cepat.
Seiring berkembangnya ruang, kami melihat lebih banyak pengembang menerbitkan Kebijakan Pengungkapan Kerentanan yang lebih eksplisit, tetapi lebih banyak yang harus dilakukan untuk memastikan bahwa peneliti dan pengembang keamanan dapat terhubung dengan cepat dan membuat web lebih aman untuk semua orang. “

Pelanggan Plugin Keamanan Premium WordFence akan dilindungi dari kerentanan ini pada hari yang sama saat ditemukan, beberapa minggu sebelum Google merilis tambalan.

IKLAN

LANJUTKAN BACA DI BAWAH

Versi Google Site Kit yang terpengaruh

Kerentanan ini memengaruhi Google Site Kit versi lebih rendah dari 1.8.0.

Google Sites Kit 1.8.0 telah sepenuhnya ditambal. Sangat disarankan agar pengguna segera memperbarui plugin mereka.

Perubahan pada plugin WordPress Google Site Kit menentukan bahwa versi 1.8.0 Ini memiliki pembaruan keamanan dan sangat menyarankan agar pengguna memperbarui.

Baca pengumuman resmi:

Kerentanan di plugin Google WordPress memberikan akses ke konsol pencarian penyerang