CVE-2026-66902
Təsvir
Perl üçün Google::Auth versiya 0.06-dan əvvəlki versiyalarda, external_account etibarlılıqları JSON faylında qeyd olunan komanda məhdudiyyətsiz sistem çağırışı vasitəsilə icra edilir. Pluggable altklası etibarlılıqlar JSON-undan credential_source.executable.command dəyərini oxuyur və onu bütün sətiri /bin/sh -c-yə ötürən tək arqumentli çağırış kimi `system($command)` şəklində işlədir. Eyni JSON-dakı executable-ın environment_variables xəritəsi əvvəlcə %ENV-yə kopyalanır. Çağırışı qoruyan heç bir seçim mexanizmi yoxdur. Əgər credential_source.executable mövcuddursa, make_creds Pluggable altklasını seçir, beləliklə, bu yola GOOGLE_APPLICATION_CREDENTIALS tərəfindən adlandırılan fayldan oxunan "type": "external_account" konfiqurasiyası daxil olmaqla standart Application Default Credentials axını vasitəsilə çatılır. credential_source.executable olmayan konfiqurasiyalar bu altklasını seçmir və həmin çağırışa çatmır. Tam nəzarət etmədiyi konfiqurasiya əsasında etibarlılıqlar yaradan hər hansı çağıran, daxil edilmiş komandanı tətbiq prosesinin imtiyazları ilə icra edir.
Necə düzəltmək olar
- CJCOLLIER Google::Auth0.06 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| CJCOLLIER Google::Auth | v < 0.06 | 0.06 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.