CVE-2026-59358

Резюме

Неправильная аутентификация (CWE-287) в конечной точке OAuth-токена в Cloud Foundry UAA позволяет удалённому аутентифицированному злоумышленнику, имеющему действительный пользовательский токен доступа, получить полностью привилегированный токен client_credentials для OAuth-клиента, который его выдал, путём предъявления пользовательского токена в качестве учётных данных OAuth 2.0 Bearer в запросе на предоставление client_credentials вместо настроенного секрета клиента. Обработка client_credentials в UAA не проверяет, что учётные данные Bearer, предоставленные для аутентификации клиента, действительно являются учётными данными клиента (секретом клиента или допустимым настроенным методом аутентификации клиента); она принимает любой действительный токен доступа, чей client_id совпадает с запросом. Токен, полученный обычным конечным пользователем через публичный поток authorization_code + PKCE — с областью действия только uaa.user, содержащий user_id и фиксирующий client_auth_method=none — удовлетворяет этой проверке. Этот пользовательский токен сам по себе не может администрировать OAuth-клиентов (POST /oauth/clients корректно возвращает 403), но при воспроизведении в качестве аутентификации Bearer в запросе client_credentials для того же клиента UAA выдаёт новый токен только для клиента, несущий полные полномочия клиента, такие как clients.write. Злоумышленник может использовать этот токен для создания произвольных новых OAuth-клиентов, включая клиентов с выбранными злоумышленником полномочиями, никогда не обладая фактическим секретом клиента. Для эксплуатации требуется действительный пользовательский токен доступа (собственный токен злоумышленника) для клиента, настроенного на поддержку как публичного, ориентированного на пользователя потока авторизации, так и типа предоставления client_credentials на одном и том же client_id — комбинация, отличная от стандартной. Практическое воздействие масштабируется в зависимости от полномочий, назначенных этому клиенту.

Источники

• CVE-2026-59358PoC

  Лаборатория proof-of-concept и эксплойт-клиент для CVE-2026-59358, демонстрирующий повторное использование в Cloud Foundry UAA пользовательского PKCE-токена в качестве Bearer для client_credentials с целью выпуска привилегированных клиентских токенов.