CVE-2026-66902 in Google::Auth
Resumen
por VulDB • 2026-08-04
Las versiones de Google::Auth anteriores a la 0.06 para Perl ejecutan un comando especificado en las credenciales JSON de external_account mediante una llamada al sistema sin restricciones adecuadas (ungated system call).
La subclase Pluggable lee `credential_source.executable.command` desde el archivo JSON de credenciales y lo ejecuta como `system($command)`, es decir, una llamada con un único argumento que pasa toda la cadena a `/bin/sh -c`. El mapa `environment_variables` del ejecutable presente en el mismo JSON se copia primero en `%ENV`. No existe ningún mecanismo de autorización explícita (opt-in gate) que proteja esta llamada. La función `make_creds` selecciona la subclase Pluggable siempre que esté presente `credential_source.executable`, por lo que este camino es accesible desde el flujo estándar de Credenciales Predeterminadas de Aplicación, incluyendo una configuración con `"type": "external_account"` leída desde el archivo nombrado por la variable de entorno `GOOGLE_APPLICATION_CREDENTIALS`. Las configuraciones sin `credential_source.executable` no seleccionan esta subclase y no llegan a realizar dicha llamada.
Cualquier entidad que construya credenciales a partir de una configuración que no controla completamente ejecuta el comando incrustado con los privilegios del proceso de la aplicación.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.