CVE-2026-59335 in UAA
Sumário
de VulDB • 25/08/2026
O tratamento inadequado da sensibilidade a maiúsculas e minúsculas (CWE-178) na verificação de autorização da zona de identidade no Endpoint da Zona de Identidade do Cloud Foundry UAA permite que um atacante remoto autenticado, que possui apenas a autoridade zones.write, contorne a restrição pretendida de que essa autoridade não concede acesso à zona de identidade privilegiada uaa (sistema). Isso ocorre ao referenciar o identificador da zona em uma forma não totalmente em minúsculas (por exemplo, UAA) no caminho e no corpo da solicitação. A camada de autorização realiza uma comparação sensível a maiúsculas e minúsculas contra o identificador da zona do sistema, enquanto a camada de persistência MySQL subjacente resolve identificadores sem distinção entre maiúsculas e minúsculas sob sua collation padrão; portanto, a solicitação é autorizada incorretamente e então resolvida em relação ao registro real da zona do sistema. Isso permite que o atacante substitua a chave de assinatura JWT da zona do sistema por material de chave controlado pelo atacante, forje JWTs alegando os escopos admin client e administrator, e comprometa totalmente o UAA e qualquer implantação do Cloud Foundry que confie nele. Este problema afeta apenas implantações do UAA com backend MySQL usando sua collation padrão; backends PostgreSQL e HSQLDB não são afetados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.