CVE-2026-74760
Niskie ryzyko· EPSS 2%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Google::Auth w wersjach 0.11–0.12 dla Perla akceptuje kod autoryzacyjny od dowolnego procesu lokalnego, ponieważ callback logowania gcloud-auth nie sprawdza parametru OAuth state. Lokalny atakujący może przesłać kod autoryzacyjny własnego konta Google, a CLI wymieni go i zapisze refresh token jako poświadczenia użytkownika.
Ocena ryzyka
Narzędzia użytkownika mogą następnie działać w kontekście konta atakującego, co prowadzi do przejęcia tożsamości i nieautoryzowanego dostępu do zasobów. Wymaga to jednak lokalnego dostępu do maszyny ofiary.
Rekomendacja
Zaktualizuj Google::Auth do wersji nowszej niż 0.12, w której weryfikowany jest parametr state. Do czasu aktualizacji unikaj uruchamiania poleceń logowania gcloud-auth na współdzielonych maszynach.
Inne podatności w Google::Auth
Zobacz wszystkie- CVE-2026-66902Krytyczne
Google::Auth dla Perla przed wersją 0.06 wykonuje polecenie zawarte w pliku JSON z danymi uwierzytelniającymi konta zewnętrznego przez niekontrolowane wywołanie systemowe. Podklasa Pluggable odczytuje pole credential_source.executable.command i uruchamia je jako `system($command)`, przekazując cały ciąg do /bin/sh -c. Nie ma żadnej bramki opt-in chroniącej to wywołanie, a ścieżka jest osiągalna ze standardowego przepływu Application Default Credentials.
- CVE-2026-74759Niskie ryzyko· EPSS 7%
Google::Auth w wersji 0.12 dla Perla pozwala na server-side request forgery poprzez niezwalidowane adresy URL credential_source w poświadczeniach zewnętrznego konta AWS. Klasa Aws wysyła żądania GET i PUT do pól imdsv2_session_token_url, url i region_url bez sprawdzenia hosta stosowanego przez inne klasy poświadczeń.
- CVE-2026-66901Wysokie
Podatność w bibliotece Google::Auth dla Perla przed wersją 0.09 umożliwia atak SSRF i kradzież poświadczeń. Adresy URL pobierane z pliku JSON z poświadczeniami nie są weryfikowane pod kątem domeny uniwersum, co pozwala na wysyłanie żądań do wewnętrznych usług i punktów końcowych link-local z poświadczeniami aplikacji.
Oryginalny opis (angielski, źródło NVD)
Google::Auth versions from 0.11 through 0.12 for Perl accept an authorization code from any local process because the gcloud-auth login callback does not check the OAuth state. The gcloud-auth login and application-default login commands send a state parameter with the authorization request, then take the code from the first request to reach their loopback listener without comparing the returned state. A local attacker can submit an authorization code for their own Google account. The CLI exchanges it and stores the refresh token as the user's credentials, so the user's tools then act as the attacker's account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS