CVE-2026-41860
HighCVSS 8.8Summary
Podatność CVE-2026-41860 w BOSH umożliwia lokalnemu atakującemu kradzież poświadczeń Basic-auth lub przekierowanie żądań tokenów UAA za pomocą ataku typu MITM. Metody HttpRequestHelper#create_async_endpoint i #send_http_get_request_synchronous mają na stałe ustawioną weryfikację SSL na OpenSSL::SSL::VERIFY_NONE, co pozwala atakującemu na przechwycenie ruchu.
Risk Assessment
Organizacja narażona jest na kradzież poufnych poświadczeń oraz możliwość przejęcia kontroli nad sesjami użytkowników. Atakujący może wykorzystać te informacje do dalszych ataków na systemy wewnętrzne.
Recommendation
Zaleca się aktualizację BOSH do wersji 282.1.9 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy rozważyć wprowadzenie dodatkowych zabezpieczeń w komunikacji między komponentami.
Original NVD description (English source)
CWE-326 in BOSH allows a local attacker to steal Basic-auth credentials or redirect UAA token requests via MITM. HttpRequestHelper#create_async_endpoint and #send_http_get_request_synchronous hard-code OpenSSL::SSL::VERIFY_NONE, enabling an attacker to intercept traffic between bosh-monitor and the BOSH director or UAA and steal credentials. Affected versions: - BOSH: all versions prior to v282.1.9 (inclusive); fixed in v282.1.9 or later