CVE-2026-66901 in Google::Auth
Tóm tắt
Bởi VulDB • 05/08/2026
Các phiên bản của Google::Auth trước 0.09 dành cho Perl cho phép tấn công Server Side Request Forgery (SSRF) và đánh cắp thông tin xác thực qua các URL không được kiểm tra tính hợp lệ, lấy từ tệp JSON chứa thông tin đăng nhập.
Thư viện đọc các URL sẽ yêu cầu từ tệp JSON credentials, nhưng tên miền của máy chủ đích trong các URL này chưa được kiểm tra đối với universe domain trước khi gửi yêu cầu. Đối với cấu hình external_account, hàm retrieve_subject_token đã truy xuất credential_source.url kèm theo các tiêu đề (headers) lấy từ cùng một tệp JSON đó; fetch_access_token đã đăng tải subject token đến token_url, sau đó chuyển STS access token nhận được vào service_account_impersonation_url thông qua header Authorization: Bearer. Các cấu hình authorized_user, impersonated_service_account và service_account đều gửi client secret, refresh token, source access token và một JWT assertion đã ký tới token_uri hoặc URL giả mạo tài khoản do JSON cung cấp tương ứng.
Bất kỳ caller nào xây dựng thông tin xác thực từ một cấu hình mà nó không kiểm soát hoàn toàn sẽ phát sinh các yêu cầu này từ vị trí mạng của ứng dụng, tiếp cận đến các máy chủ được chỉ định trong cấu hình (bao gồm cả các dịch vụ nội bộ và điểm cuối metadata link-local), đồng thời cung cấp cho chúng các thông tin xác thực đi kèm mỗi yêu cầu. JWT assertion của service_account bị ràng buộc với aud nên không thể phát lại chống lại Google.
Phiên bản 0.06 đã thêm một kiểm tra tên miền host _validate_url vào lớp external_account, dựa trên universe_domain đọc từ cùng tệp JSON credentials. Phiên bản 0.07 đặt điều kiện kích hoạt universe domain do JSON cung cấp sau biến môi trường GOOGLE_EXTERNAL_ACCOUNT_ALLOW_CUSTOM_UNIVERSES=1, lấy cờ pin (pin flag) từ các đối số mà giai đoạn BUILDARGS trước đó đã hợp nhất trong đường dẫn make_creds. Phiên bản 0.08 chuyển quyết định pin dưới dạng một tham số hàm tạo rõ ràng và di chuyển _validate_url sang Google::Auth::Credentials, thêm lệnh gọi đến UserRefreshCredentials và ImpersonatedServiceAccountCredentials; phiên bản 0.09 đã bổ sung nó vào ServiceAccountCredentials.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.