CVE-2026-41860
WysokieCVSS 8.8Streszczenie
Podatność CVE-2026-41860 w BOSH umożliwia lokalnemu atakującemu kradzież poświadczeń Basic-auth lub przekierowanie żądań tokenów UAA za pomocą ataku typu MITM. Metody HttpRequestHelper#create_async_endpoint i #send_http_get_request_synchronous mają na stałe ustawioną weryfikację SSL na OpenSSL::SSL::VERIFY_NONE, co pozwala atakującemu na przechwycenie ruchu.
Ocena ryzyka
Organizacja narażona jest na kradzież poufnych poświadczeń oraz możliwość przejęcia kontroli nad sesjami użytkowników. Atakujący może wykorzystać te informacje do dalszych ataków na systemy wewnętrzne.
Rekomendacja
Zaleca się aktualizację BOSH do wersji 282.1.9 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy rozważyć wprowadzenie dodatkowych zabezpieczeń w komunikacji między komponentami.
Oryginalny opis (angielski, źródło NVD)
CWE-326 in BOSH allows a local attacker to steal Basic-auth credentials or redirect UAA token requests via MITM. HttpRequestHelper#create_async_endpoint and #send_http_get_request_synchronous hard-code OpenSSL::SSL::VERIFY_NONE, enabling an attacker to intercept traffic between bosh-monitor and the BOSH director or UAA and steal credentials. Affected versions: - BOSH: all versions prior to v282.1.9 (inclusive); fixed in v282.1.9 or later