CVE-2026-41859
Açıklama
nats-sync ile BOSH director arasındaki bir ağ ortadaki adam (man-in-the-middle) saldırısı, director kimlik bilgilerini (Basic auth başlığı veya UAA istemci sırrı) çalabilir ve NATS yetkilendirme dosyasına yazılan VM listesini manipüle edebilir. Çalınan kimlik bilgileri yönetici düzeyinde director erişimi sağlar. UsersSync#bosh_api_response_body, her director çağrısı için (/info, /deployments, /deployments/<name>/vms), verify_mode = OpenSSL::SSL::VERIFY_NONE şeklinde yapılandırılmış bir Net::HTTP istemcisi oluşturur. Etkilenen versiyonlar: - BOSH: v282.1.9 öncesindeki tüm versiyonlar (dahil); v282.1.9 veya sonrası versiyonlarda düzeltildi.
Nasıl düzeltilir
- Cloud Foundry Foundation BOSH282.1.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Cloud Foundry Foundation BOSH | v < 282.1.9 | 282.1.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.