CVE-2026-74759
Niskie ryzyko· EPSS 7%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Google::Auth w wersji 0.12 dla Perla pozwala na server-side request forgery poprzez niezwalidowane adresy URL credential_source w poświadczeniach zewnętrznego konta AWS. Klasa Aws wysyła żądania GET i PUT do pól imdsv2_session_token_url, url i region_url bez sprawdzenia hosta stosowanego przez inne klasy poświadczeń.
Ocena ryzyka
Konfiguracja pochodząca z niezaufanego źródła może wymusić żądania do usług wewnętrznych lub punktów metadanych link-local, co grozi wyciekiem danych i eskalacją w chmurze. Ryzyko dotyczy aplikacji budujących poświadczenia z konfiguracji, której nie kontrolują w pełni.
Rekomendacja
Zaktualizuj Google::Auth do wersji zawierającej walidację hosta dla credential_source w poświadczeniach AWS. Upewnij się, że konfiguracje external_account pochodzą wyłącznie z zaufanych źródeł.
Inne podatności w Google::Auth
Zobacz wszystkie- CVE-2026-66902Krytyczne
Google::Auth dla Perla przed wersją 0.06 wykonuje polecenie zawarte w pliku JSON z danymi uwierzytelniającymi konta zewnętrznego przez niekontrolowane wywołanie systemowe. Podklasa Pluggable odczytuje pole credential_source.executable.command i uruchamia je jako `system($command)`, przekazując cały ciąg do /bin/sh -c. Nie ma żadnej bramki opt-in chroniącej to wywołanie, a ścieżka jest osiągalna ze standardowego przepływu Application Default Credentials.
- CVE-2026-74760Niskie ryzyko· EPSS 2%
Google::Auth w wersjach 0.11–0.12 dla Perla akceptuje kod autoryzacyjny od dowolnego procesu lokalnego, ponieważ callback logowania gcloud-auth nie sprawdza parametru OAuth state. Lokalny atakujący może przesłać kod autoryzacyjny własnego konta Google, a CLI wymieni go i zapisze refresh token jako poświadczenia użytkownika.
- CVE-2026-66901Wysokie
Podatność w bibliotece Google::Auth dla Perla przed wersją 0.09 umożliwia atak SSRF i kradzież poświadczeń. Adresy URL pobierane z pliku JSON z poświadczeniami nie są weryfikowane pod kątem domeny uniwersum, co pozwala na wysyłanie żądań do wewnętrznych usług i punktów końcowych link-local z poświadczeniami aplikacji.
Oryginalny opis (angielski, źródło NVD)
Google::Auth versions 0.12 for Perl allow server side request forgery via unvalidated credential_source URLs in AWS external account credentials. An external_account configuration with the AWS subject token type selects Google::Auth::ExternalAccountCredentials::Aws. Its retrieve_subject_token sends requests to the imdsv2_session_token_url, url and region_url fields of credential_source without the host check that the other credential classes apply. Any caller that builds credentials from a configuration it does not fully control issues GET and PUT requests to hosts the configuration names, including internal services and link-local metadata endpoints.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS