CVE-2026-59335 in UAA
Zusammenfassung
von VulDB • 25.08.2026
Unzulässige Behandlung der Groß-/Kleinschreibung (CWE-178) bei der Autorisierungsprüfung in der Identitätszone im Identity Zone Endpoint von Cloud Foundry UAA ermöglicht es einem entfernten, authentifizierten Angreifer mit nur der Berechtigung „zones.write“, die beabsichtigte Einschränkung zu umgehen, dass diese Berechtigung keinen Zugriff auf die privilegierte uaa (System)-Identitätszone gewährt. Dies geschieht durch Angabe der Zonen-ID in einer nicht kleingeschriebenen Form (z. B. UAA) im Anforderungspfad und -körper. Die Autorisierungsschicht führt einen fallunterscheidenden Vergleich mit der System-Zonenkennung durch, während die zugrunde liegende MySQL-Persistence-Schicht Kennungen unter ihrer Standard-Collation fallsunabhängig auflöst; daher wird die Anfrage fälschlicherweise autorisiert und dann gegen den tatsächlichen Systemzonen-Eintrag aufgelöst. Dies ermöglicht es dem Angreifer, den JWT-Signing-Key der Systemzone mit vom Angreifer kontrolliertem Schlüsselmaterial zu überschreiben, JWTs zu erstellen, die sich als Admin-Client und Administrator-Berechtigungen ausgeben, und UAA sowie jede Cloud Foundry-Instanz vollständig zu kompromittieren, die ihr vertraut. Dieses Problem betrifft nur UAA-Deployments mit MySQL-Hintergrund unter Verwendung der Standard-Collation; PostgreSQL- und HSQLDB-Backends sind nicht betroffen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.