CVE-2026-105222: google-maps desactiva verificación TLS

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-105222 reside en el paquete alexpechkarev/google-maps, una librería para Laravel que facilita la integración con los servicios web de Google Maps. El problema radica en la configuración por defecto del paquete, que establece la opción ssl_verify_peer en FALSE en el archivo de configuración googlemaps.php (línea 28). Este valor se transmite directamente a la opción CURLOPT_SSL_VERIFYPEER de cURL, la cual controla la verificación de la validez del certificado TLS del servidor remoto.

Al deshabilitar esta verificación por defecto, el paquete acepta cualquier certificado presentado por el servidor, sin comprobar si es emitido por una autoridad de certificación (CA) de confianza ni si coincide con el dominio solicitado. Esta condición se clasifica como CWE-295: Improper Certificate Validation (Validación incorrecta de certificados).

El fallo afecta a todas las versiones del paquete desde la 1.0.3 hasta la 12.16 inclusive, según la información publicada por CVE.org. La vulnerabilidad fue reportada inicialmente por VulnCheck y posteriormente asignada y publicada en el NVD el 4 de octubre de 2026.

La causa raíz es una mala práctica de seguridad en el desarrollo del paquete: la verificación TLS está deshabilitada de forma predeterminada, lo que contradice las recomendaciones de seguridad básicas para aplicaciones que manejan datos sensibles. Aunque la configuración puede modificarse manualmente, el hecho de que el valor inseguro sea el predeterminado expone a todos los usuarios que no ajusten explícitamente esta opción.

Es importante señalar que la puntuación CVSS de 9.1 se calcula con el vector CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N, lo que indica un alto impacto en la confidencialidad e integridad de los datos, aunque requiere condiciones de red específicas (un atacante en la ruta de comunicación) para ser explotada.

Productos y versiones vulnerables

La vulnerabilidad afecta al paquete alexpechkarev/google-maps, una librería para el framework Laravel que facilita la integración con los servicios web de Google Maps. Según la información publicada por CVE.org, todas las versiones del producto, desde la 1.0.3 hasta la 12.16 inclusive, se consideran afectadas. El fabricante no ha publicado una versión corregida en las fuentes consultadas.

El origen del problema se encuentra en la configuración incluida en el paquete. En el archivo src/config/googlemaps.php (línea 28 de la versión 12.16), la opción ssl_verify_peer está establecida en FALSE por defecto. Este valor se transmite directamente a la opción CURLOPT_SSL_VERIFYPEER de cURL, lo que desactiva la verificación de certificados TLS en las peticiones realizadas a los servicios web de Google Maps.

Impacto y riesgo

La gravedad de esta vulnerabilidad ha sido clasificada como CRÍTICA, con una puntuación CVSS de 9.1 según el vector CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N. Aunque la complejidad de ataque se considera alta y se requiere una posición de red intermedia, el impacto potencial es severo.

Al desactivarse la verificación de certificados, un atacante con capacidad de interceptar el tráfico de red (por ejemplo, mediante un ataque de intermediario o DNS spoofing) podría presentar un certificado arbitrario y hacerse pasar por los servidores legítimos de Google Maps. Las consecuencias prácticas incluyen:

• Robo de la clave de API: la API key viaja en la cadena de consulta de las peticiones HTTP. Un atacante podría capturarla y utilizarla de forma fraudulenta, generando costes no autorizados o agotando las cuotas del servicio.
• Manipulación de respuestas: el atacante podría alterar los datos devueltos por el servicio web, lo que podría provocar decisiones incorrectas en la aplicación, mostrar información errónea a los usuarios o, en escenarios más complejos, facilitar otros ataques.
• Pérdida de confidencialidad: cualquier dato enviado en las peticiones (direcciones, coordenadas, parámetros de negocio) podría ser leído por el atacante.

Dado que el paquete se integra en aplicaciones Laravel, el riesgo afecta directamente a los entornos de producción que utilicen esta librería para comunicarse con los servicios de Google Maps. La puntuación de prioridad asignada por RyzerBot es de 205, lo que refleja la criticidad y la relevancia de la vulnerabilidad.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información que confirme la existencia de exploits públicos o ataques activos que aprovechen esta vulnerabilidad. No se ha registrado ningún incidente de explotación en la naturaleza hasta la fecha de publicación del aviso.

Sin embargo, la naturaleza del fallo —una configuración insegura por defecto en una librería ampliamente utilizada— lo convierte en un objetivo atractivo para atacantes. La ausencia de exploits conocidos no debe interpretarse como una garantía de seguridad, sino como una oportunidad para aplicar las medidas correctivas antes de que se desarrolle un exploit funcional.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. No deben inventarse IOC; por lo tanto, no se dispone de direcciones IP, dominios, hashes de archivos u otros artefactos que permitan detectar actividad maliciosa relacionada con esta vulnerabilidad.

Se recomienda monitorizar los registros de acceso a los servicios de Google Maps, prestando especial atención a peticiones que presenten certificados TLS no válidos o que provengan de rangos de IP inusuales. No obstante, estas medidas son complementarias y no sustituyen a la corrección del fallo subyacente.

Cómo comprobar si estás afectado

Para determinar si tu instalación es vulnerable a CVE-2026-105222, debes verificar dos aspectos fundamentales: la versión del paquete alexpechkarev/google-maps que tienes desplegada y la configuración de verificación TLS que utiliza tu aplicación.

1. Verificar la versión del paquete

El primer paso es confirmar qué versión del paquete está instalada en tu proyecto Laravel. La vulnerabilidad afecta a todas las versiones desde la 1.0.3 hasta la 12.16 inclusive. Si estás utilizando una versión igual o anterior a la 12.16, tu instalación es potencialmente vulnerable.

2. Inspeccionar la configuración de TLS

La causa raíz del problema se encuentra en el archivo de configuración incluido en el paquete. Debes revisar el contenido de tu archivo de configuración de Google Maps (típicamente config/googlemaps.php) y buscar la directiva ssl_verify_peer. Si el valor está establecido en FALSE, la verificación de certificados TLS está deshabilitada y tu aplicación es vulnerable a ataques de intermediario (man-in-the-middle).

También es recomendable revisar el código de tu aplicación para asegurarte de que no estás sobrescribiendo esta configuración en tiempo de ejecución. El paquete pasa este valor directamente a la opción CURLOPT_SSL_VERIFYPEER de cURL, por lo que cualquier llamada al servicio web de Google Maps que no establezca explícitamente esta opción a TRUE heredará el comportamiento inseguro por defecto.

3. Revisar el tráfico de red

Si tienes capacidad de monitorización de red, puedes verificar si las peticiones salientes hacia los servicios de Google Maps están utilizando conexiones TLS válidas. Un indicador de compromiso sería la presencia de certificados autofirmados o no emitidos por una autoridad de certificación reconocida en las conexiones hacia los endpoints de Google Maps.

Mitigación y actualización

En el momento de la publicación de este análisis, no se ha publicado una versión corregida del paquete que aborde esta vulnerabilidad. Por tanto, la mitigación debe aplicarse manualmente en tu entorno.

Mitigación inmediata

La acción más directa es modificar la configuración de tu aplicación para forzar la verificación de certificados TLS. Debes localizar el archivo de configuración de Google Maps en tu proyecto y cambiar el valor de ssl_verify_peer de FALSE a TRUE. Si el paquete no expone esta opción de forma clara, puedes sobrescribir la configuración en tiempo de ejecución antes de realizar cualquier llamada al servicio web.

Además, es crucial revisar cualquier otro parámetro relacionado con la seguridad de la conexión, como ssl_verify_host, que también debería estar habilitado para verificar que el certificado corresponde al host correcto.

Monitorización y rotación de credenciales

Dado que la vulnerabilidad permite el robo de la API key de Google Maps, se recomienda encarecidamente:

• Rotar la API key utilizada en la aplicación, especialmente si se ha utilizado en un entorno expuesto o si se sospecha de actividad anómala.
• Revisar los logs de acceso a la consola de Google Cloud Platform para detectar usos no autorizados de la clave.
• Restringir la API key por IP, dominio o tipo de aplicación según las recomendaciones de Google para minimizar el impacto en caso de exposición.

Seguimiento del aviso oficial

Es fundamental estar atento a las actualizaciones del fabricante. Se recomienda monitorizar el repositorio oficial del paquete en GitHub y el hilo del problema #123 para conocer cuándo se publica una versión corregida. Hasta entonces, la mitigación manual descrita es la única opción viable.

Checklist para administradores

• ☐ Verificar la versión instalada del paquete alexpechkarev/google-maps y confirmar si es igual o anterior a la 12.16.
• ☐ Inspeccionar el archivo de configuración config/googlemaps.php y localizar la directiva ssl_verify_peer.
• ☐ Cambiar el valor de ssl_verify_peer a TRUE en todos los entornos (desarrollo, pruebas y producción).
• ☐ Verificar que ssl_verify_host también está habilitado para validar el nombre del host.
• ☐ Revisar el código de la aplicación para asegurarse de que no se sobrescribe la configuración TLS en tiempo de ejecución.
• ☐ Rotar la API key de Google Maps utilizada por la aplicación.
• ☐ Revisar los logs de la consola de Google Cloud Platform en busca de usos no autorizados de la API key.
• ☐ Restringir el uso de la API key por IP, dominio o tipo de aplicación según las recomendaciones de Google.
• ☐ Monitorizar el repositorio oficial y el hilo del problema #123 para conocer cuándo se publica una versión corregida.
• ☐ Documentar el incidente y las acciones de mitigación aplicadas para futuras referencias y auditorías.

Preguntas frecuentes

¿Qué es CVE-2026-105222?

Es una vulnerabilidad crítica (CVSS 9.1) en el paquete alexpechkarev/google-maps para Laravel. El paquete deshabilita la verificación de certificados TLS por defecto, lo que permite a un atacante en la red interceptar las comunicaciones con los servicios web de Google Maps, robar la API key y manipular las respuestas.

¿Qué versiones están afectadas?

Según la información publicada por CVE.org, todas las versiones del paquete desde la 1.0.3 hasta la 12.16 inclusive están afectadas. No se ha publicado información sobre una versión corregida.

¿Cómo puedo saber si mi API key ha sido comprometida?

Debes revisar los logs de uso de la API key en la consola de Google Cloud Platform. Busca peticiones inusuales, accesos desde ubicaciones o direcciones IP que no reconozcas, o un aumento repentino del volumen de llamadas. Si tienes alguna duda, rota la clave inmediatamente.

¿La vulnerabilidad afecta a todas las llamadas al servicio de Google Maps?

Sí, cualquier llamada al servicio web de Google Maps realizada a través del paquete vulnerable heredará la configuración insegura de TLS, a menos que se sobrescriba explícitamente en el código de la aplicación.

¿Existe algún parche disponible?

No, en el momento de la publicación de este análisis no se ha publicado una versión corregida del paquete. La mitigación recomendada es modificar manualmente la configuración para habilitar la verificación de certificados TLS.

¿Qué debo hacer si no puedo modificar la configuración del paquete?

Si no puedes modificar la configuración, considera implementar una capa intermedia que realice las llamadas a Google Maps con una configuración TLS segura, o evalúa la posibilidad de utilizar un paquete alternativo que no presente esta vulnerabilidad.