Perl Google::AuthにCVE-2026-74759・74760―SSRFとOAuth state検証漏れ

CPANSecは日本時間2026年11月2日1時43分、Perl向けGoogle::Authの2件の脆弱性を登録しました。AWS外部アカウント認証のSSRFがCVE-2026-74759、ログイン時のOAuth state検証漏れがCVE-2026-74760です。確認したレコードにはCVSSスコアと具体的な修正版番号がありません。

CVE-2026-74759は0.12が対象です。外部アカウント設定のcredential_sourceにあるURLをホスト検証せず使うため、信頼できない設定を読み込むと、サーバーが内部サービスやメタデータのエンドポイントへGET・PUTリクエストを送るおそれがあります。CNAは、認証設定をすべて信頼できる提供元から取得するよう案内しています。

CVE-2026-74760は0.11〜0.12が対象です。付属のgcloud-authログイン処理は、認可要求で送ったstateと応答の値を照合せず、ローカル待受へ最初に届いた認可コードを受け入れます。ローカルの攻撃者が自分のアカウントのコードを渡すと、利用者のツールが攻撃者のアカウントとして動くおそれがあります。

後者についてCNAは、gcloud-auth loginとgcloud-auth application-default loginに--no-browserを指定し、ループバックの待受を使わない方式を回避策としています。これはPerl版の付属ツールに関する情報で、Google Cloud SDK全体の脆弱性ではありません。修正版の案内を待つ間も、対象処理と回避策を分けて適用してください。