CVE-2026-74760
Publiée le 2026-11-01 · Dernière modification le 2026-11-02
Les versions 0.11 à 0.12 de Google::Auth pour Perl sont utilisées pour gérer l'authentification des comptes Google pour les outils en ligne de commande. La faille provient du fait que l'écouteur de rappel de connexion ne vérifie pas le paramètre « state » lors de la négociation OAuth. Cela signifie que le logiciel accepte tout code d'autorisation envoyé à son écouteur local, qu'il corresponde ou non à la requête initiale.
Un attaquant local peut envoyer son propre code d'autorisation à l'écouteur, trompant ainsi le système pour qu'il enregistre les identifiants de l'attaquant au lieu de ceux de l'utilisateur. Cela compromet l'intégrité de l'environnement de l'utilisateur, car les exécutions ultérieures de l'outil agiront au nom du compte de l'attaquant. Cette attaque nécessite un accès local à la machine et dépend du fait que l'utilisateur initie activement un processus de connexion.
RÉFÉRENCES
Description officielle du NVD (en anglais)
Google::Auth versions from 0.11 through 0.12 for Perl accept an authorization code from any local process because the gcloud-auth login callback does not check the OAuth state. The gcloud-auth login and application-default login commands send a state parameter with the authorization request, then take the code from the first request to reach their loopback listener without comparing the returned state. A local attacker can submit an authorization code for their own Google account. The CLI exchanges it and stores the refresh token as the user's credentials, so the user's tools then act as the attacker's account.