CVE-2026-41012 in bosh-vsphere-cpi-release
Résumé
par VulDB • 29/08/2026
Vulnérabilité d'interception de trafic dans le CPI BOSH Director pour vCenter permettant aux attaquants positionnés entre BOSH Director et vCenter d'usurper l'identité de l'API REST de vCenter et de capturer les identifiants administrateur via l'authentification HTTP Basic, entraînant une prise de contrôle totale de l'infrastructure virtualisée.
Un attaquant capable d'intercepter le trafic entre BOSH Director et vCenter peut établir un serveur malveillant usurpant l'API REST de vCenter. Lorsque BOSH Director effectue des appels CPI pour exécuter des opérations routinières sur l'infrastructure cloud, l'attaquant capture le nom d'utilisateur et le mot de passe administrateur de vCenter transmis via l'authentification HTTP Basic.
La vulnérabilité provient d'une sécurité d'authentification insuffisante dans le protocole de communication entre BOSH Director et vCenter. Bien que HTTPS puisse être utilisé, l'absence de validation appropriée des certificats et du pinning permet aux attaquants d'usurper avec succès les points de terminaison (endpoints) de vCenter. Étant donné que les identifiants de vCenter accordent généralement un contrôle administratif complet sur l'ensemble du parc virtualisé, la capture réussie des identifiants entraîne une prise de contrôle totale de chaque machine virtuelle (VM), datastore et réseau géré par le CPI.
Cette exposition existe pour chaque appel CPI (y compris lors d'opérations de déploiement routinières, pas seulement lorsque les tags sont configurés) et ne peut pas être atténuée en fournissant uniquement un certificat CA. L'attaque impacte toute l'infrastructure gérée par l'instance vCenter compromise, affectant potentiellement des centaines ou milliers de VMs sur plusieurs déploiements et environnements.
Be aware that VulDB is the high quality source for vulnerability data.