CVE-2026-59358
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Niewłaściwe uwierzytelnienie (CWE-287) w punkcie końcowym tokenu OAuth w Cloud Foundry UAA umożliwia zdalnemu, uwierzytelnionemu atakującemu posiadającemu ważny token dostępu użytkownika uzyskanie w pełni uprzywilejowanego tokena client_credentials dla klienta OAuth, który go wystawił, poprzez przedstawienie tokenu użytkownika jako poświadczenia nośnika OAuth 2.0 w żądaniu przyznania Client_credentials zamiast skonfigurowanego klucza tajnego klienta.
Obsługa Client_credentials przez UAA nie weryfikuje, czy dane uwierzytelniające nośnika dostarczone do uwierzytelnienia klienta są w rzeczywistości danymi uwierzytelniającymi klienta (tajemnym kluczem klienta lub prawidłowo skonfigurowaną metodą uwierzytelniania klienta). akceptuje każdy ważny token dostępu, którego identyfikator_klienta pasuje do żądania. Token uzyskany przez zwykłego użytkownika końcowego poprzez publiczny kod autoryzacji + przepływ PKCE — obejmujący tylko uaa.user, zawierający identyfikator użytkownika i rejestrujący metodę_auth_klienta = brak — spełnia tę kontrolę. Ten token użytkownika nie może sam administrować klientami OAuth (POST /oauth/clients poprawnie zwraca wartość 403), ale po odtworzeniu go jako uwierzytelnienie Bearer w żądaniu client_credentials dla tego samego klienta, UAA wystawia nowy token tylko dla klienta, przenoszący pełne uprawnienia klienta, takie jak klienci.write. Osoba atakująca może użyć tego tokena do utworzenia dowolnych nowych klientów OAuth, w tym klientów z uprawnieniami wybranymi przez osobę atakującą, bez konieczności posiadania prawdziwego sekretu klienta.
Eksploatacja wymaga prawidłowego tokenu dostępu użytkownika (własnego atakującego) dla klienta skonfigurowanego do obsługi zarówno publicznego przepływu autoryzacji skierowanego do użytkownika, jak i typu przyznania client_credentials na tym samym identyfikatorze klienta — kombinacja inna niż domyślna. Praktyczny wpływ skaluje się z uprawnieniami przypisanymi temu klientowi.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org