Podatności Google::Auth

Google::Auth dla Perla przed wersją 0.06 wykonuje polecenie zawarte w pliku JSON z danymi uwierzytelniającymi konta zewnętrznego przez niekontrolowane wywołanie systemowe. Podklasa Pluggable odczytuje pole credential_source.executable.command i uruchamia je jako `system($command)`, przekazując cały ciąg do /bin/sh -c. Nie ma żadnej bramki opt-in chroniącej to wywołanie, a ścieżka jest osiągalna ze standardowego przepływu Application Default Credentials.

Google::Auth w wersjach 0.11–0.12 dla Perla akceptuje kod autoryzacyjny od dowolnego procesu lokalnego, ponieważ callback logowania gcloud-auth nie sprawdza parametru OAuth state. Lokalny atakujący może przesłać kod autoryzacyjny własnego konta Google, a CLI wymieni go i zapisze refresh token jako poświadczenia użytkownika.

Google::Auth w wersji 0.12 dla Perla pozwala na server-side request forgery poprzez niezwalidowane adresy URL credential_source w poświadczeniach zewnętrznego konta AWS. Klasa Aws wysyła żądania GET i PUT do pól imdsv2_session_token_url, url i region_url bez sprawdzenia hosta stosowanego przez inne klasy poświadczeń.

Podatność w bibliotece Google::Auth dla Perla przed wersją 0.09 umożliwia atak SSRF i kradzież poświadczeń. Adresy URL pobierane z pliku JSON z poświadczeniami nie są weryfikowane pod kątem domeny uniwersum, co pozwala na wysyłanie żądań do wewnętrznych usług i punktów końcowych link-local z poświadczeniami aplikacji.