CVE-2026-59357 in UAA
요약
\~에 의해 VulDB • 2026. 10. 06.
외부 OIDC 로그인 콜백에서 데이터 진위성 검증 부족(CWE-345)으로 인해 Cloud Foundry UAA v4.5.0부터 v79.6.0(포함)까지의 환경에서 인증된 UAA 사용자가 OAuth 인가 코드 교환을 우회하여 인증된 외부-OIDC 브라우저 세션을 확립할 수 있습니다. 이는 콜백의 id_token 매개변수로 조작된 UAA 액세스 토큰 또는 크로스 클라이언트 ID 토큰을 제출함으로써 발생합니다.
이 문제는 UAA 존(Ozone)이 자신의 /oauth/token 엔드포인트와 발급자(issuer)가 정확히 일치하는 OIDC 신원 공급자와 구성될 때("self-UAA" OIDC 구성)만 나타납니다. 이러한 구성에서 콜백은 인가 코드 교환을 요구하지 않고 제공된 id_token을 직접 사용하며, 해당 토큰이 특정 self-OIDC 신뢰 당사자 클라이언트에 대해 실제로 ID 토큰으로 발급되었는지 검증하지 않습니다. 공격자는 자신에게 유효한 모든 UAA JWT(uaa.user 스코프만 포함된 일반 액세스 토큰이나 cf와 같은 무관한 클라이언트에게 발급된 유효한 ID 토큰 포함)를 콜백의 id_token으로 제시하여 매핑된 로컬("shadow") 계정으로 인증될 수 있습니다. 결과적으로 생성된 세션은 원래 토큰의 실제 대상(audience)이나 user_id에 대해 검증되지 않으므로, 그 유효한 특권(shadow account가 가진 group memberships에 따라 달라지며 여기에는 clients.write와 같은 관리용 스코프도 포함될 수 있습니다.
이 취약점을 악용하려면 유효한 UAA 사용자 JWT, 대상 존의 유효한 브라우저 로그인 상태 및 자기 참조(self-referential) OIDC 공급자 구성이 필요합니다. 이는 사전 인증(pre-authentication) 취약점이 아니며, 매핑된 shadow 계정이 이미 보유한 특권을 초과하는 권한을 자동으로 부여하지 않습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.