CVE-2026-41859
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Atak typu man-in-the-middle w sieci między nats-sync a dyrektorem BOSH może ukraść poświadczenia dyrektora (nagłówek Basic auth lub tajny klucz klienta UAA) oraz manipulować listą maszyn wirtualnych zapisywaną w pliku autoryzacji NATS. Skradzione poświadczenia dają dostęp administracyjny do dyrektora. Funkcja UsersSync#bosh_api_response_body tworzy klienta Net::HTTP z verify_mode = OpenSSL::SSL::VERIFY_NONE dla każdego wywołania dyrektora (/info, /deployments, /deployments/<name>/vms). Dotyczy wszystkich wersji BOSH przed v282.1.9 (włącznie); naprawione w v282.1.9 lub nowszej.
Ocena ryzyka
Atakujący w sieci może przejąć pełną kontrolę nad dyrektorem BOSH, co pozwala na zarządzanie całym klastrem i potencjalne naruszenie wszystkich zarządzanych maszyn wirtualnych.
Rekomendacja
Zaktualizuj BOSH do wersji v282.1.9 lub nowszej oraz skonfiguruj weryfikację certyfikatów TLS dla połączeń z dyrektorem.
Inne podatności w BOSH
Zobacz wszystkie- CVE-2026-41860Wysokie
Podatność w BOSH umożliwia lokalnemu atakującemu kradzież poświadczeń Basic-auth lub przekierowanie żądań tokenów UAA poprzez atak MITM. Metody HttpRequestHelper#create_async_endpoint i #send_http_get_request_synchronous na stałe ustawiają OpenSSL::SSL::VERIFY_NONE, co pozwala przechwycić ruch między bosh-monitor a dyrektorem BOSH lub UAA i ukraść poświadczenia.
- CVE-2026-41011Wysokie
W BOSH (wszystkie wersje przed v282.1.12) funkcja PackagePersister.validate_tgz buduje polecenie powłoki z nazwą pakietu pochodzącą z pliku release.MF bez escapowania. Walidacja Sequel (VALID_ID) jest wykonywana po wywołaniu powłoki, więc atakujący może wstrzyknąć polecenia powłoki przez metaznaki w nazwie pakietu.
Oryginalny opis (angielski, źródło NVD)
A network man-in-the-middle between nats-sync and the BOSH director can steal the director credentials (Basic auth header or UAA client secret) and can tamper with the VM list that is written into the NATS authorization file. Stolen credentials grant administrative director access. UsersSync#bosh_api_response_body builds a Net::HTTP client with verify_mode = OpenSSL::SSL::VERIFY_NONE for every director call (/info, /deployments, /deployments/<name>/vms). Affected versions: - BOSH: all versions prior to v282.1.9 (inclusive); fixed in v282.1.9 or later