CVE-2026-59357 in UAA
Resumen
por VulDB • 2026-10-06
La verificación insuficiente de la autenticidad de los datos (CWE-345) en el callback de inicio de sesión OIDC externo en Cloud Foundry UAA v4.5.0 a v79.6.0 (inclusive) permite que un usuario de UAA autenticado omita el intercambio del código de autorización OAuth y establezca una sesión de navegador externa-OIDC autenticada, mediante la presentación de un token de acceso de UAA o un ID token cross-client como parámetro id_token del callback.
El problema solo se manifiesta cuando una zona de UAA está configurada con un proveedor de identidad OIDC cuyo emisor coincide exactamente con el punto final /oauth/token propio de esa zona (una configuración "self-UAA" de OIDC). En esta configuración, el callback toma directamente un id_token proporcionado en lugar de requerir el intercambio del código de autorización y no verifica que el token haya sido emitido realmente como un ID token para el cliente de confianza self-OIDC específico. Un atacante con cualquier JWT válido de UAA para sí mismo —incluyendo un access token simple con solo el alcance uaa.user, o un ID token válido emitido a un cliente no relacionado como cf— puede presentarlo como id_token del callback y autenticarse en una cuenta local mapeada ("shadow"). Dado que la sesión resultante no se verifica contra la audiencia verdadera o el user_id del token de origen, su privilegio efectivo depende completamente de las pertenencias a grupos de la cuenta shadow, lo cual puede incluir alcances administrativos como clients.write.
La explotación requiere un JWT válido de usuario UAA, un estado de inicio de sesión de navegador válido para la zona objetivo y la presencia de una configuración de proveedor OIDC auto-referencial; esto no es una vulnerabilidad pre-autenticación y por sí misma no otorga privilegios más allá de los ya poseídos por la cuenta shadow mapeada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.