CVE-2015-3191
Açıklama
Cloud Foundry Runtime cf-release v209 veya önceki sürümleri, UAA Standalone 2.2.6 veya önceki sürümleri ve Pivotal Cloud Foundry Runtime 1.4.5 veya önceki sürümlerinde, UAA içindeki change_email formu bir CSRF saldırısına karşı savunmasızdır. Bu durum, bir saldırganın, kendi kontrolündeki bir sitede yer alan kötü amaçlı bir bağlantı aracılığıyla, bir cloud foundry örneğine giriş yapmış olan kullanıcı için e-posta değişikliğini tetiklemesine olanak tanır. Bu güvenlik açığı yalnızca kimlik doğrulama için UAA dahili kullanıcı deposu kullanıldığında geçerlidir. SAML veya LDAP üzerinden entegrasyonu etkinleştirilmiş dağıtımlar etkilenmemektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cloudfoundry cf-release | v ≤ 209 | — |
| pivotal_software cloud_foundry_elastic_runtime | v ≤ 1.4.5 | — |
| pivotal_software cloud_foundry_uaa | v ≤ 2.2.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.