alexpechkarev google-maps: Deaktivierte TLS-Zertifikatsprüfung im Laravel-Paket

Zusammenfassung

Das Laravel-Paket alexpechkarev/google-maps bis Version 12.16 enthält eine Konfiguration, die die TLS-Zertifikatsprüfung deaktiviert (ssl_verify_peer auf FALSE gesetzt). Ein Angreifer in einer On-Path-Position kann beliebige Zertifikate präsentieren, Anfragen an die Google-Maps-Webservices abfangen, den im Query-String enthaltenen API-Schlüssel stehlen und die Antworten manipulieren. Es sind keine Zugangsdaten nötig, der Angreifer benötigt aber eine Netzwerkposition zwischen dem Server und Google.

Betroffen

• alexpechkarev/google-maps 1.0.3 bis 12.16 laut CNA-Eintrag
• Der CNA-Eintrag markiert die Standardkonfiguration als nicht betroffen, was der in der CVE beschriebenen mitgelieferten Konfiguration widerspricht. Prüfen Sie die tatsächlich wirksame Einstellung in Ihrer Installation.

Behoben in

Unbekannt. Es wurde weder eine Herstellerwarnung noch eine korrigierte Version gefunden.

Umgehung

• Vom Hersteller unbekannt.
• Überschreiben Sie die veröffentlichte Konfiguration so, dass die Zertifikatsprüfung aktiviert ist, und bestätigen Sie in einer Testumgebung, dass HTTPS-Aufrufe weiterhin funktionieren.
• Beschränken Sie den Google-API-Schlüssel nach API, IP-Adresse oder Referrer und rotieren Sie ihn, falls ein Abfangen vermutet wird.
• Richten Sie Abrechnungs- und Kontingentalarme für den Schlüssel ein.

Ausnutzung

• Ein Drittanbieter-Aggregator meldet erkannte Ausnutzungsversuche. Dies konnte nicht aus einer primären Quelle bestätigt werden.
• EPSS-Wert: 0.19%.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Es wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Prüfen Sie in der composer.lock die installierte Version und ob die Konfiguration den Standardwert überschreibt.
• Wenden Sie die Workaround-Massnahme an und aktivieren Sie die Zertifikatsprüfung, bis der Maintainer einen Fix veröffentlicht.
• Überwachen Sie den Google-Maps-API-Schlüssel auf ungewöhnliche Nutzung und beschränken Sie ihn.
• Prüfen Sie das GitHub-Issue #123 und das Repository regelmässig auf Updates und ziehen Sie einen Fork oder Ersatz in Betracht, falls kein Fix erscheint.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub repository alexpechkarev/google-maps github.com
• WebService.php at v12.14 github.com
• Default config googlemaps.php at v12.16 github.com
• GitHub issue #123 github.com
• VulnCheck advisory www.vulncheck.com
• OSV entry CVE-2026-105222 osv.dev
• RedPacket Security alert www.redpacketsecurity.com
• GitHub releases alexpechkarev/google-maps github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:33.