CVE-2015-5170
WysokieStreszczenie
Cloud Foundry Runtime w wersjach przed 216, UAA przed 2.5.2 oraz Pivotal Cloud Foundry (PCF) Elastic Runtime przed 1.7.0 umożliwiają zdalnym atakującym przeprowadzenie ataków typu cross-site request forgery (CSRF) na PWS, co pozwala na zalogowanie użytkownika do dowolnego konta z powodu braku weryfikacji CSRF.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do nieautoryzowanego dostępu do kont użytkowników, co może prowadzić do kradzieży danych lub innych działań szkodliwych.
Rekomendacja
Zaleca się aktualizację do najnowszych wersji Cloud Foundry Runtime, UAA oraz Pivotal Cloud Foundry, aby załatać tę podatność i wprowadzić odpowiednie mechanizmy weryfikacji CSRF.
Inne podatności w Cloud Foundry Runtime, UAA, Pivotal Cloud Foundry Elastic Runtime
Zobacz wszystkie- CVE-2015-5173Wysokie
Cloud Foundry Runtime w wersjach przed 216, UAA przed 2.5.2 oraz Pivotal Cloud Foundry (PCF) Elastic Runtime przed 1.7.0 umożliwiają atakującym wykorzystanie nieokreślonego wpływu poprzez e-maile zawierające linki do odzyskiwania hasła, znane jako 'Cross Domain Referer Leakage'.
- CVE-2015-5172Krytyczne
Cloud Foundry Runtime w wersjach przed 216, UAA przed 2.5.2 oraz Pivotal Cloud Foundry (PCF) Elastic Runtime przed 1.7.0 umożliwiają atakującym wykorzystanie nieokreślonego wpływu poprzez brak wygasania linków do resetowania haseł.
- CVE-2015-5171Krytyczne
Funkcjonalność zmiany hasła w Cloud Foundry Runtime przed wersją 216, UAA przed wersją 2.5.2 oraz Pivotal Cloud Foundry (PCF) Elastic Runtime przed wersją 1.7.0 pozwala atakującym na wykorzystanie braku wygaszenia istniejących sesji.
Oryginalny opis (angielski, źródło NVD)
Cloud Foundry Runtime cf-release before 216, UAA before 2.5.2, and Pivotal Cloud Foundry (PCF) Elastic Runtime before 1.7.0 allow remote attackers to conduct cross-site request forgery (CSRF) attacks on PWS and log a user into an arbitrary account by leveraging lack of CSRF checks.