CVE-2026-59357

Niewystarczająca weryfikacja autentyczności danych (CWE-345) w zewnętrznym wywołaniu zwrotnym logowania OIDC w Cloud Foundry UAA v4.5.0 do v79.6.0 (włącznie) umożliwia uwierzytelnionemu użytkownikowi UAA ominięcie wymiany kodów autoryzacyjnych OAuth i nawiązanie uwierzytelnionej sesji przeglądarki zewnętrznej OIDC poprzez przesłanie tokenu dostępu UAA lub tokena identyfikatora krzyżowego klienta jako parametru id_token wywołania zwrotnego.



Problem pojawia się tylko wtedy, gdy strefa UAA jest skonfigurowana z dostawcą tożsamości OIDC, którego wystawca dokładnie pasuje do własnego punktu końcowego /oauth/token tej strefy (konfiguracja OIDC „self-UAA”). W tej konfiguracji wywołanie zwrotne pobiera bezpośrednio dostarczony id_token zamiast wymagać wymiany kodu autoryzacyjnego i nie sprawdza, czy token został rzeczywiście wystawiony jako token identyfikacyjny dla konkretnego klienta strony zależnej OIDC. Osoba atakująca posiadająca dla siebie dowolny ważny token JWT UAA — w tym zwykły token dostępu o zasięgu jedynie uaa.user lub ważny token identyfikatora wydany niepowiązanemu klientowi, np. cf — może przedstawić go jako id_token wywołania zwrotnego i zostać uwierzytelniony na zmapowanym koncie lokalnym („cień”). Ponieważ wynikowa sesja nie jest weryfikowana względem prawdziwych odbiorców lub identyfikatora_użytkownika źródłowego tokena, jej efektywne uprawnienia zależą całkowicie od członkostwa konta w tle w grupach, które mogą obejmować zakresy administracyjne, takie jak klienci.write.



Eksploatacja wymaga prawidłowego tokenu JWT użytkownika UAA, prawidłowego stanu logowania przeglądarki w strefie docelowej oraz obecności samoodwołującej się konfiguracji dostawcy OIDC — nie jest to luka w zabezpieczeniach poprzedzająca uwierzytelnienie i sama w sobie nie przyznaje uprawnień wykraczających poza te, które są już posiadane przez zmapowane konto-cień.