CVE-2016-6651

Wysokie

Opublikowano: 30/09/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Punkt końcowy /oauth/token w Pivotal Cloud Foundry (PCF) przed wersją 243 oraz różnymi wersjami UAA i Elastic Runtime pozwala zdalnie uwierzytelnionym użytkownikom na uzyskanie przywilejów poprzez wykorzystanie posiadanego tokena.

Ocena ryzyka

Organizacje mogą być narażone na nieautoryzowany dostęp do zasobów, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Rekomendacja

Zaleca się aktualizację do najnowszych wersji Pivotal Cloud Foundry oraz UAA, aby zniwelować tę podatność.

Inne podatności w Pivotal Cloud Foundry, UAA, Elastic Runtime, Ops Manager

CVE-2016-6637Krytyczne
Wielokrotne podatności typu cross-site request forgery (CSRF) w Pivotal Cloud Foundry (PCF) przed wersją 242 oraz w UAA, Elastic Runtime i Ops Manager, umożliwiają zdalnym atakującym przejęcie uwierzytelnienia nieokreślonych ofiar dla żądań zatwierdzających lub odrzucających zakres.

Oryginalny opis (angielski, źródło NVD)

The UAA /oauth/token endpoint in Pivotal Cloud Foundry (PCF) before 243; UAA 2.x before 2.7.4.8, 3.x before 3.3.0.6, and 3.4.x before 3.4.5; UAA BOSH before 11.7 and 12.x before 12.6; Elastic Runtime before 1.6.40, 1.7.x before 1.7.21, and 1.8.x before 1.8.2; and Ops Manager 1.7.x before 1.7.13 and 1.8.x before 1.8.1 allows remote authenticated users to gain privileges by leveraging possession of a token.