Falhas em Google::Auth para Perl expõem riscos de SSRF e OAuth
O aviso publicado no oss-sec em 1º de novembro de 2026 descreve duas falhas em Google::Auth para Perl: SSRF em versões 0.12 e aceitação indevida de códigos OAuth nas versões 0.11 a 0.12.
Por Wendelmaques Pereira · Atualizado em hoje
Fonte: Google::Auth para Perl (2 CVEs) (seclists.org). Texto preparado com IA a partir dessa fonte.
O que aconteceu e o que fazer
O aviso do oss-sec, publicado em 1º de novembro de 2026, relata duas falhas em Google::Auth para Perl. A CVE-2026-74759 permite SSRF na versão 0.12 por meio de URLs `credential_source` não validadas em credenciais de conta externa da AWS. A CVE-2026-74760 afeta as versões 0.11 a 0.12: o callback de login `gcloud-auth` aceita um código de autorização de qualquer processo local porque não verifica o estado OAuth.
Uma empresa que use essas versões pode inventariar dependências e serviços afetados, atualizar ou substituir a biblioteca e revisar as credenciais de conta externa e os fluxos de login. Também pode implementar verificações de URLs de origem, validação do estado OAuth e monitoramento de tentativas de acesso a recursos internos, com testes para confirmar os controles.
Como a consultoria pode ajudar
A Wendelmaques pode diagnosticar a exposição em dependências e fluxos de autenticação, definir um escopo de correção e implementar atualizações, validações e monitoramento. A operação pode ser incluída no escopo acordado.
Próximo passo
Envie uma descrição breve das versões e dos fluxos de autenticação usados na sua empresa para receber uma proposta com escopo definido.
Vamos avaliar seu projeto
Respondo com escopo e proposta.