CVE-2026-74759: SSRF nelle credenziali AWS di Google::Auth Perl

CVE-2026-74759: SSRF critica in Google::Auth Perl per AWS. CVSS 9,8.

CVE-2026-74759 è una vulnerabilità Server-Side Request Forgery (SSRF) in Google::Auth versione 0.12 per Perl. La falla permette ai malintenzionati di inviare richieste non autorizzate a servizi interni e metadata endpoint cloud attraverso configurazioni di credenziali esterne per AWS.

La libreria non valida gli host nei campi credential_source delle configurazioni AWS external account. La classe ExternalAccountCredentials::Aws invia richieste GET e PUT ai campi imdsv2_session_token_url, url e region_url senza verificare l'host destinatario, permettendo il raggiungimento di servizi interni e endpoint metadata che dovrebbero essere isolati.

Il valore CVSS è 9,8, con gravità dichiarata critical. La vulnerabilità è stata pubblicata su NVD il 1º novembre 2026. Non è ancora disponibile una patch ufficiale. Su X è stato segnalato il rischio elevato della falla e l'assenza di correzioni immediate.

Per gli amministratori e i team di sicurezza: inventariare immediatamente Google::Auth 0.12 nelle applicazioni Perl. Implementare controlli di rete che limitino le richieste in uscita verso endpoint metadata. Monitorare le configurazioni di credenziali esterne per rilevare URL anomale. Restare aggiornati su patch e pianificare upgrade non appena disponibile.

In sintesi

Cosa: Una vulnerabilità Server-Side Request Forgery (SSRF) in Google::Auth versione 0.12 per Perl. La libreria non valida gli host di destinazione nei campi credential_source per configurazioni di account esterne AWS (imdsv2_session_token_url, url, region_url), permettendo l'invio di richieste non autorizzate a servizi interni e endpoint metadata cloud.
Gravità: CVSS 9,8 (critical). La vulnerabilità consente il raggiungimento di servizi interni e metadata endpoint che dovrebbero essere inaccessibili, creando rischi significativi per la confidenzialità dei dati e la sicurezza delle credenziali cloud.
Versioni interessate: Google::Auth versione 0.12 per Perl. Le applicazioni Perl che utilizzano questa versione della libreria per gestire credenziali AWS esterne sono esposte alla falla.
Correzione: Non riportato. Nessuna patch è stata resa disponibile al momento della pubblicazione (1º novembre 2026). È consigliato verificare gli aggiornamenti ufficiali di Google::Auth.
Stato: Vulnerabilità pubblicata su NVD il 1º novembre 2026. Segnalata con gravità critical. Non sono pubblicamente confermati exploit o aggiornamenti patch al momento della analisi (6 novembre 2026).
Azione: Inventariare l'uso di Google::Auth 0.12 nelle applicazioni Perl. Limitare con regole di rete le richieste outbound verso endpoint metadata. Monitorare configurazioni di credenziali per URL anomale. Restare aggiornati su patch e planificare l'upgrade non appena disponibile.

Fonti: NVD, CVE-2026-74759

← Tutti gli articoli