CVE-2017-4972
WysokieStreszczenie
Wykryto problem w wersjach cf-release Cloud Foundry Foundation przed v257 oraz w wersjach UAA przed określonymi wersjami, który umożliwia atakującemu przeprowadzenie ataku typu blind SQL injection na bazę danych UAA.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych przechowywanych w bazie danych UAA, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do najnowszych wersji cf-release oraz UAA, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w Cloud Foundry Foundation cf-release, UAA
Zobacz wszystkie- CVE-2017-4994Wysokie
Wykryto problem w Cloud Foundry Foundation cf-release w wersjach przed v263 oraz w UAA w różnych wersjach, który dotyczy przekazywanych nagłówków HTTP. Może to prowadzić do uszkodzenia kont użytkowników.
- CVE-2017-4991Wysokie
Wykryto problem w wersjach cf-release Cloud Foundry Foundation przed v260 oraz w wersjach UAA przed określonymi wersjami, który pozwala uprzywilejowanym użytkownikom w jednej strefie na resetowanie haseł użytkowników w innej strefie.
- CVE-2017-4973Wysokie
Wykryto podatność w Cloud Foundry Foundation cf-release w wersjach przed v257 oraz w UAA w wersjach 2.x przed v2.7.4.14, 3.6.x przed v3.6.8, 3.9.x przed v3.9.10 i innych przed v3.15.0. Podatność dotyczy punktu końcowego grup w UAA, co pozwala użytkownikom na podniesienie swoich uprawnień.
- CVE-2017-4992Krytyczne
Wykryto problem w wersjach cf-release Cloud Foundry Foundation przed v261 oraz w wersjach UAA przed określonymi wersjami, który umożliwia eskalację uprawnień poprzez arbitralne resetowanie haseł przy zaproszeniach użytkowników.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Cloud Foundry Foundation cf-release versions prior to v257; UAA release 2.x versions prior to v2.7.4.14, 3.6.x versions prior to v3.6.8, 3.9.x versions prior to v3.9.10, and other versions prior to v3.15.0; and UAA bosh release (uaa-release) 13.x versions prior to v13.12, 24.x versions prior to v24.7, and other versions prior to v30. An attacker can use a blind SQL injection attack to query the contents of the UAA database.