CVE-2026-59357

Cloud Foundry UAA v4.5.0 - v79.6.0 (daxil olmaqla) versiyalarında xarici OIDC giriş geri çağırışında (callback) məlumatların həqiqiliyinin kifayət qədər yoxlanılmaması (CWE-345), autentifikasiya olunmuş UAA istifadəçisinə geri çağırışın id_token parametri kimi UAA giriş tokenini və ya çarpaz müştəri (cross-client) ID tokenini təqdim etməklə OAuth authorization-code mübadiləsindən yan keçməyə və autentifikasiya olunmuş xarici-OIDC brauzer sessiyası yaratmağa imkan verir. Problem yalnız UAA zonası, emitenti həmin zonanın öz /oauth/token son nöqtəsi ilə tam üst-üstə düşən bir OIDC şəxsiyyət provayderi ilə konfiqurasiya edildikdə ("self-UAA" OIDC konfiqurasiyası) ortaya çıxır. Bu konfiqurasiyada geri çağırış, avtorizasiya kodu mübadiləsini tələb etmək əvəzinə, təqdim edilən id_token-i birbaşa qəbul edir və tokenin həqiqətən konkret self-OIDC relying-party müştərisi üçün ID tokeni kimi buraxıldığını yoxlamır. Özü üçün hər hansı etibarlı UAA JWT-yə sahib olan hücumçu — bura yalnız uaa.user əhatə dairəsinə malik adi giriş tokeni və ya cf kimi əlaqəsiz müştəriyə verilmiş etibarlı ID tokeni daxildir — onu geri çağırışın id_token-i kimi təqdim edə bilər və xəritələnmiş lokal ("kölgə") hesaba autentifikasiya oluna bilər. Nəticədə yaranan sessiya orijinal tokenin real auditoriyasına və ya user_id-sinə qarşı yoxlanılmadığı üçün, onun effektiv imtiyazları tamamilə kölgə hesabının qrup üzvlüyündən asılıdır ki, bu da clients.write kimi inzibati əhatə dairələrini ehtiva edə bilər. İstismar üçün etibarlı UAA istifadəçi JWT-si, hədəf zona üçün etibarlı brauzer giriş vəziyyəti və özünə istinad edən OIDC provayder konfiqurasiyasının mövcudluğu tələb olunur — bu, autentifikasiyadan öncə baş verən zəiflik deyil və təkbaşına xəritələnmiş kölgə hesabının artıq sahib olduğu imtiyazlardan kənar səlahiyyətlər vermir.