CVE-2026-74759
Publiée le 2026-11-01 · Dernière modification le 2026-11-02
La version 0.12 de Google::Auth pour Perl est une bibliothèque utilisée pour gérer l'authentification et les identifiants. La faille se situe dans le gestionnaire d'identifiants de compte externe AWS, qui ne valide pas les URL fournies dans la configuration `credential_source`. Cela permet au logiciel d'envoyer des requêtes réseau vers des adresses arbitraires au lieu de les limiter aux points de terminaison AWS approuvés.
Un attaquant capable d'influencer le fichier de configuration peut forcer le serveur à effectuer des requêtes GET et PUT non autorisées vers des services internes ou des points de terminaison de métadonnées cloud. Cela peut entraîner le vol de données internes sensibles ou l'exposition d'identifiants de l'environnement cloud. L'exploitation nécessite la possibilité de modifier ou de fournir la configuration utilisée par l'application.
RÉFÉRENCES
Description officielle du NVD (en anglais)
Google::Auth versions 0.12 for Perl allow server side request forgery via unvalidated credential_source URLs in AWS external account credentials. An external_account configuration with the AWS subject token type selects Google::Auth::ExternalAccountCredentials::Aws. Its retrieve_subject_token sends requests to the imdsv2_session_token_url, url and region_url fields of credential_source without the host check that the other credential classes apply. Any caller that builds credentials from a configuration it does not fully control issues GET and PUT requests to hosts the configuration names, including internal services and link-local metadata endpoints.