CVE-2026-41860
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
Podatność w BOSH umożliwia lokalnemu atakującemu kradzież poświadczeń Basic-auth lub przekierowanie żądań tokenów UAA poprzez atak MITM. Metody HttpRequestHelper#create_async_endpoint i #send_http_get_request_synchronous na stałe ustawiają OpenSSL::SSL::VERIFY_NONE, co pozwala przechwycić ruch między bosh-monitor a dyrektorem BOSH lub UAA i ukraść poświadczenia.
Ocena ryzyka
Atakujący może przejąć poufne dane uwierzytelniające, co prowadzi do nieautoryzowanego dostępu do systemu BOSH i zarządzanych przez niego komponentów.
Rekomendacja
Zaktualizuj BOSH do wersji v282.1.9 lub nowszej, która zawiera poprawkę usuwającą twarde kodowanie VERIFY_NONE.
Inne podatności w BOSH
Zobacz wszystkie- CVE-2026-41859Wysokie
Atak typu man-in-the-middle w sieci między nats-sync a dyrektorem BOSH może ukraść poświadczenia dyrektora (nagłówek Basic auth lub tajny klucz klienta UAA) oraz manipulować listą maszyn wirtualnych zapisywaną w pliku autoryzacji NATS. Skradzione poświadczenia dają dostęp administracyjny do dyrektora. Funkcja UsersSync#bosh_api_response_body tworzy klienta Net::HTTP z verify_mode = OpenSSL::SSL::VERIFY_NONE dla każdego wywołania dyrektora (/info, /deployments, /deployments/<name>/vms). Dotyczy wszystkich wersji BOSH przed v282.1.9 (włącznie); naprawione w v282.1.9 lub nowszej.
- CVE-2026-41011Wysokie
W BOSH (wszystkie wersje przed v282.1.12) funkcja PackagePersister.validate_tgz buduje polecenie powłoki z nazwą pakietu pochodzącą z pliku release.MF bez escapowania. Walidacja Sequel (VALID_ID) jest wykonywana po wywołaniu powłoki, więc atakujący może wstrzyknąć polecenia powłoki przez metaznaki w nazwie pakietu.
Oryginalny opis (angielski, źródło NVD)
CWE-326 in BOSH allows a local attacker to steal Basic-auth credentials or redirect UAA token requests via MITM. HttpRequestHelper#create_async_endpoint and #send_http_get_request_synchronous hard-code OpenSSL::SSL::VERIFY_NONE, enabling an attacker to intercept traffic between bosh-monitor and the BOSH director or UAA and steal credentials. Affected versions: - BOSH: all versions prior to v282.1.9 (inclusive); fixed in v282.1.9 or later