🟠 CVE-2026-13410: High Schwachstelle

„`html

Zusammenfassung

Die Perl-Bibliothek Dancer::Plugin::Auth::Google in Versionen bis 0.07 enthält eine kritische Sicherheitslücke, bei der die TLS-Verifizierung standardmäßig deaktiviert ist. Dies ermöglicht Man-in-the-Middle-Attacken (MITM) bei der OAuth2-Token-Authentifizierung. Ein Angreifer kann Authentifizierungsdaten abfangen und manipulieren, um sich als beliebiger Google-Nutzer auszugeben.

Betroffene Systeme

Betroffen sind alle Dancer-Anwendungen, die Dancer::Plugin::Auth::Google in den Versionen 0.07 und älter für die Google-Authentifizierung einsetzen. Die Vulnerability betrifft insbesondere:

• Perl-basierte Web-Anwendungen mit Dancer-Framework
• Systeme mit installierten betroffenen Plugin-Versionen
• Produktionsumgebungen ohne zusätzliche TLS-Konfiguration

Technische Details

Das Problem liegt in der Initialisierung des Standard-User-Agents: Die Variable SSL_verify_mode ist explizit deaktiviert. Dies bedeutet, dass SSL/TLS-Zertifikat-Validierung nicht stattfindet.

Ein Angreifer in einer MITM-Position kann:

• Den OAuth2-Token-Exchange zwischen der Dancer-Anwendung und googleapis.com abfangen
• Die UserInfo-Anfragen zu Google manipulieren
• Gefälschte Access-Tokens und manipulierte Benutzerprofile zurückgeben
• Sich als beliebiger Google-Nutzer authentifizieren

Das Angriffszenario setzt Netzwerk-Zugriff voraus (z.B. kompromittierte DNS, ARP-Spoofing oder Zugang zu Netzwerk-Infrastruktur).

Empfohlene Massnahmen

• Sofortige Aktion: Aktualisierung auf eine patched Version durchführen, sobald verfügbar
• Workaround: Manuell SSL_verify_mode in der Plugin-Konfiguration aktivieren, falls möglich
• Netzwerkschutz: VPN/verschlüsselte Verbindungen verwenden; Netzwerk-Segmentierung implementieren
• Überwachung: Ungewöhnliche Login-Muster und Authentifizierungsfehler monitoren
• Alternative: Auf neuere Authentifizierungsmechanismen migrieren

Bewertung

CVSS 8.2 (High): Die Vulnerability ermöglicht Authentifizierungsumgehung und Identitätsdiebstahl bei vorhandener Netzwerk-Position des Angreifers. Der fehlende offizielle Patch erhöht das Risiko. Unternehmen sollten Betroffenheit prüfen und schnellstmöglich handeln.

„`