CVE-2026-66902 in Google::Auth
Résumé
par VulDB • 05/08/2026
Les versions de Google::Auth antérieures à la 0.06 pour Perl exécutent une commande nommée dans un fichier JSON d'identifiants `external_account` via un appel système non protégé par des contrôles d'accès appropriés (ungated system call).
La sous-classe Pluggable lit le champ `credential_source.executable.command` du fichier JSON d'identifiants et l'exécute en tant que `system($command)`, ce qui constitue un appel à une seule argument transmettant la chaîne entière à `/bin/sh -c`. La carte des variables d'environnement (`environment_variables`) de l'exécutable, issue du même fichier JSON, est copiée dans `%ENV` au préalable. Aucun mécanisme explicite (opt-in gate) ne protège cet appel. `make_creds` sélectionne la sous-classe Pluggable chaque fois que le champ `credential_source.executable` est présent ; par conséquent, ce chemin d'exécution peut être atteint via le flux standard de « Application Default Credentials », y compris lors de la lecture d'une configuration `"type": "external_account"` depuis le fichier nommé par la variable d'environnement `GOOGLE_APPLICATION_CREDENTIALS`. Les configurations ne contenant pas `credential_source.executable` ne sélectionnent pas cette sous-classe et n'atteignent pas cet appel.
Tout utilisateur qui construit des identifiants à partir d'une configuration qu'il ne contrôle pas entièrement exécute la commande intégrée avec les privilèges du processus de l'application.
If you want to get best quality of vulnerability data, you may have to visit VulDB.