Google was bij het oplossen van een beveiligingslek in Google Maps niet grondig genoeg, waardoor de onderliggende kwetsbaarheid nog steeds kon worden misbruikt. Dat laat beveiligingsonderzoeker Zohar Shachar via zijn eigen blog weten.

Google Maps biedt gebruikers de optie om een eigen map te maken en die vervolgens als KML-bestand te exporteren. Dergelijke bestanden zijn vervolgens te gebruiken om geografische data binnen Google Earth en andere applicaties weer te geven. Bij het maken van de map is het mogelijk om die van een naam te voorzien. Deze tekst wordt echter niet weergegeven door de browser.

Shachar ontdekte een manier om de tekst die in het naamveld werd opgegeven toch door de browser van een gebruiker uit te laten voeren. Door het toevoegen van speciale karakters kon de beperking worden omzeild en was cross-site scripting (XSS) mogelijk. Hiervoor had een aanvaller een nieuwe map moeten maken, voorzien van de XSS-code. Deze map moest vervolgens als KML-bestand worden geëxporteerd. Als laatste stap had een aanvaller de downloadlink naar het KML-bestand naar een slachtoffer moeten sturen. Wanneer die het bestand opende zou het mogelijk zijn om zijn cookies te stelen.

De onderzoeker waarschuwde Google waarna het techbedrijf een oplossing doorvoerde en de onderzoeker met 5.000 dollar beloonde. Shachar besloot te kijken of Google het probleem echt had verholpen. Binnen tien minuten lukte het hem naar eigen zeggen om de oplossing van Google te omzeilen en was cross-site scripting wederom mogelijk. Weer waarschuwde de onderzoeker Google, dat het probleem dit keer wel volledig verhielp en Shachar opnieuw een beloning van 5.000 dollar gaf.

De kwetsbaarheid in Google Maps is niet het enige probleem dat in eerste instantie niet goed door Google werd opgelost. De oplossing voor een beveiligingslek in Gsuite dat Shachar rapporteerde werd ook door de onderzoeker omzeild, wat hem wederom een dubbele beloning opleverde. De onderzoeker controleert nu alle fixes voor de door hem gemelde bugs en adviseert andere onderzoekers om dit ook te doen.