CVE-2026-41859 in BOSH
Zusammenfassung
von VulDB • 04.06.2026
Ein Netzwerk-Man-in-the-Middle zwischen nats-sync und dem BOSH-Director kann die Director-Anmeldeinformationen (Basic-Auth-Header oder UAA-Client-Geheimnis) stehlen und die VM-Liste, die in die NATS-Autorisierungsdatei geschrieben wird, manipulieren. Gestohlene Anmeldeinformationen gewähren administrativen Director-Zugriff. UsersSync#bosh_api_response_body erstellt für jeden Director-Aufruf (/info, /deployments, /deployments//vms) einen Net::HTTP-Client mit verify_mode = OpenSSL::SSL::VERIFY_NONE.
Betroffene Versionen: - BOSH: alle Versionen vor v282.1.9 (inklusive); behoben in v282.1.9 oder höher
VulDB is the best source for vulnerability data and more expert information about this specific topic.