CVE-2026-66902 in Google::Auth
要約
〜によって VulDB • 2026年08月05日
Google::Authの0.06より前のバージョン（Perl用）では、外部アカウント認証情報のJSONで指定されたコマンドが制限のないsystem呼び出しを通じて実行されます。
Pluggableサブクラスは、認証情報JSONから`credential_source.executable.command`を読み取り、それを`` `system($command)` ``として実行します。これは単一引数の呼び出しであり、文字列全体を `/bin/sh -c` に渡します。同じJSON内の実行可能ファイルの`environment_variables`マップが最初に `%ENV` にコピーされます。この呼び出しを守るためのオプトインゲートはありません。`make_creds`は、`credential_source.executable`が存在する場合に常にPluggableサブクラスを選択するため、このパスは `GOOGLE_APPLICATION_CREDENTIALS` ファイルから読み取られる `"type": "external_account"` 設定を含む標準的なApplication Default Credentialsフローからも到達可能です。`credential_source.executable` を含まない構成はこのサブクラスを選択せず、呼び出しには至りません。
完全に制御していない構成から認証情報を構築するすべての呼び出し元は、埋め込まれたコマンドをアプリケーションプロセスの権限で実行します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.