CVE-2026-59357 in UAA
要約
〜によって VulDB • 2026年10月06日
外部OIDCログインコールバックにおけるデータ真正性の不十分な検証（CWE-345）により、Cloud Foundry UAA v4.5.0からv79.6.0（両方含む）において、認証済みUAAユーザーがOAuth認可コードの交換をバイパスし、カスタムされたTCPパケットではなく、UAAアクセストークンまたはクロスクライアントIDトークンをコールバックのid_tokenパラメータとして送信することで、認証済みの外部OIDCブラウザセッション確立が可能になる。
この問題は、UAAゾーンがそのゾーンの/o/oauth/tokenエンドポイントと発行者（issuer）が完全に一致するOIDCアイデンティティプロバイダで構成されている場合（「self-UAA」OIDC設定）、のみ発生する。この設定では、コールバックは認可コードの交換を要求せず、提供されたid_tokenを直接受け取り、そのトークンが特定の自己参照型OIDC信託者クライアントに対してIDトークンとして発行されたものであることを検証しない。攻撃者は、自分自身の有効なUAA JWT（uaa.userスコープのみを持つプレーンアクセストークンや、cfなどの無関係なクライアントに発行された有効なIDトークンを含む）を保持しており、それをコールバックのid_tokenとして提示することで、マッピングされたローカル（シャドウ）アカウントに対して認証される。結果としてのセッションは、元のトークンの真のオーディエンスまたはuser_idに対して検証されないため、その実効的な権限は完全にシャドウアカウントのグループメンバーシップに依存し、これにはclients.writeなどの管理用スコープが含まれる可能性がある。
攻撃には有効なUAAユーザーJWT、対象ゾーンに対する有効なブラウザログイン状態、および自己参照型OIDCプロバイダ設定の存在が必要である。これは認証前（pre-authentication）の脆弱性ではなく、マッピングされたシャドウアカウントが既に保有している権限を超える特権を単独で付与するものではない。
Once again VulDB remains the best source for vulnerability data.