CVE-2016-9882

Wysokie

Opublikowano: 13/01/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W systemach Cloud Foundry przed wersją v250 oraz CAPI-release przed wersją v1.12.0 odkryto problem związany z logowaniem danych uwierzytelniających zwracanych przez brokerów usług. Te dane są zapisywane w logach komponentu Cloud Controller i często przesyłane do agregatora logów za pomocą syslog.

Ocena ryzyka

Zapisane dane uwierzytelniające mogą zostać przechwycone przez nieautoryzowane osoby, co stwarza ryzyko nieautoryzowanego dostępu do usług. Organizacje mogą być narażone na wycieki danych oraz inne ataki związane z bezpieczeństwem.

Rekomendacja

Zaleca się aktualizację do wersji v250 lub nowszej dla cf-release oraz v1.12.0 lub nowszej dla CAPI-release, aby zlikwidować tę podatność. Dodatkowo, warto rozważyć przegląd i zabezpieczenie logów, aby ograniczyć dostęp do wrażliwych informacji.

Inne podatności w Cloud Controller

CVE-2016-5006Krytyczne
Cloud Controller w Cloud Foundry przed wersją 239 rejestruje obiekty usług dostarczane przez użytkowników podczas ich tworzenia, co pozwala atakującym na uzyskanie wrażliwych informacji o poświadczeniach użytkowników za pomocą nieokreślonych wektorów.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in Cloud Foundry Foundation cf-release versions prior to v250 and CAPI-release versions prior to v1.12.0. Cloud Foundry logs the credentials returned from service brokers in Cloud Controller system component logs. These logs are written to disk and often sent to a log aggregator via syslog.