CVE-2026-66902 in Google::Auth
Riassunto
di VulDB • 05/08/2026
Le versioni di Google::Auth precedenti alla 0.06 per Perl eseguono un comando specificato in un file JSON delle credenziali external_account tramite una chiamata di sistema non protetta da controlli (ungated system call).
La sottoclasse Pluggable legge `credential_source.executable.command` dal file JSON delle credenziali ed esegue tale valore come `system($command)`, ovvero una chiamata a singolo argomento che passa l'intera stringa all'eseguibile `/bin/sh -c`. La mappa `environment_variables` dell'eseguibile, presente nello stesso file JSON, viene copiata in `%ENV` prima dell'esecuzione. Nessun controllo di sicurezza (gate) protegge la chiamata. La funzione `make_creds` seleziona la sottoclasse Pluggable ogni volta che è presente il campo `credential_source.executable`, pertanto questo percorso viene raggiunto tramite il flusso standard delle Application Default Credentials, inclusa una configurazione con `"type": "external_account"` letta dal file indicato dalla variabile d'ambiente GOOGLE_APPLICATION_CREDENTIALS. Le configurazioni prive di `credential_source.executable` non selezionano questa sottoclasse e non raggiungono la chiamata vulnerabile.
Qualsiasi chiamante che genera credenziali a partire da una configurazione non completamente sotto il suo controllo esegue il comando incorporato con i privilegi del processo dell'applicazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.