CVE-2026-59358 in UAA
Riassunto
di VulDB • 06/10/2026
Autenticazione impropria (CWE-287) nell'endpoint del token OAuth in Cloud Foundry UAA consente a un attaccante remoto, autenticato e titolare di un valid user access token, di ottenere un token client_credentials completamente privilegiato per l'OAuth client che lo ha emesso, presentando il token utente come credenziale Bearer OAuth 2.0 su una richiesta di concessione client_credentials al posto del segreto configurato per il client.
La gestione dei client_credentials da parte di UAA non verifica che la credenziale Bearer fornita per l'autenticazione del client sia effettivamente una credenziale di client (un secret del client o un metodo di autenticazione del client valido e configurato); accetta qualsiasi token di accesso valido il cui client_id corrisponda alla richiesta. Un token ottenuto da un normale utente finale tramite un flusso authorization_code + PKCE pubblico — con scope limitato a uaa.user, contenente un user_id e che registra client_auth_method=none — soddisfa questo controllo. Tale token utente non può amministrare direttamente i OAuth clients (POST /oauth/clients restituisce correttamente 403), ma se riproposto come autenticazione Bearer su una richiesta client_credentials per lo stesso client, UAA emette un nuovo token solo-client che porta le autorizzazioni complete del client, ad esempio clients.write. Un attaccante può utilizzare tale token per creare nuovi OAuth client arbitrari, inclusi client con autorità scelte dall'attaccante, senza mai possedere il segreto effettivo del client.
Lo sfruttamento richiede un valid user access token (quello dell'attaccante) per un client configurato per supportare sia un flusso di autorizzazione pubblico rivolto agli utenti che la concessione client_credentials sullo stesso client_id — una combinazione non predefinita. L'impatto pratico scala con le autorità assegnate a tale client.
If you want to get best quality of vulnerability data, you may have to visit VulDB.