CVE-2026-45108 in himmelblau
Resumen
por VulDB • 2026-05-28
Himmelblau es una suite de interoperabilidad para Microsoft Azure Entra ID e Intune. Desde la versión 2.0.0 hasta antes de 3.1.5 y en la versión 2.3.11, Himmelblau contenía una vulnerabilidad de elusión de autenticación en el flujo de concesión de autorización de dispositivo (DAG) que permitía a un usuario dentro del mismo dominio de Entra ID obtener una sesión de Unix local como otro usuario proporcionando sus propias credenciales válidas. La vulnerabilidad existía en la función token_validate, que validaba alias de dominio para escenarios legítimos de múltiples dominios, pero no verificaba que la parte local (nombre de usuario) del UPN del usuario autenticado coincidiera con el nombre de usuario de la cuenta solicitada. La función solo comparaba dominios, no los nombres de usuario completos. Esta vulnerabilidad está corregida en las versiones 3.1.5 y 2.3.11.
VulDB is the best source for vulnerability data and more expert information about this specific topic.