CVE-2017-2773

Pivotal PCF Elastic Runtime — podszywanie się pod użytkowników przez błąd walidacji JWT

CVSS 9.8v3.0pub. 2017-06-13upd. 2026-05-13

W bibliotekach obsługujących JSON Web Token (JWT) w Pivotal PCF Elastic Runtime wykryto niekompletną logikę walidacji, która pozwala nieuwierzytelnionemu atakującemu na podszywanie się pod innych użytkowników. Podatność ma krytyczną ocenę CVSS 9.8 i nie wymaga żadnych uprawnień ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

An issue was discovered in Pivotal PCF Elastic Runtime 1.6.x versions prior to 1.6.60, 1.7.x versions prior to 1.7.41, 1.8.x versions prior to 1.8.23, and 1.9.x versions prior to 1.9.1. Incomplete validation logic in JSON Web Token (JWT) libraries can allow unprivileged attackers to impersonate other users in multiple components included in PCF Elastic Runtime, aka an "Unauthenticated JWT signing algorithm in multiple components" issue.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej walidacji algorytmu podpisu w tokenach JWT przez wiele komponentów wchodzących w skład PCF Elastic Runtime. Atakujący może spreparować token JWT z nieoczekiwanym algorytmem podpisu (np. 'none'), który zostanie zaakceptowany przez podatne biblioteki bez właściwej weryfikacji. Dzięki temu możliwe jest skuteczne podszycie się pod dowolnego użytkownika platformy bez znajomości jego danych uwierzytelniających.

Skutki

Nieuwierzytelniony atakujący może przejąć tożsamość innych użytkowników — w tym administratorów — w wielu komponentach platformy PCF Elastic Runtime, co może prowadzić do pełnego naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować Pivotal PCF Elastic Runtime do wersji co najmniej: 1.6.60, 1.7.41, 1.8.23 lub 1.9.1 — odpowiednio dla używanej gałęzi. Szczegóły dostępne w poradniku producenta pod adresem https://pivotal.io/security/cve-2017-2773

Kogo dotyczy

Pivotal PCF Elastic Runtime w wersjach: 1.6.x przed 1.6.60, 1.7.x przed 1.7.41, 1.8.x przed 1.8.23 oraz 1.9.x przed 1.9.1

CVSS Vector

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Pivotal Software Cloud Foundry Elastic Runtime
APP
Pivotal Software
1.6.01.6.11.6.101.6.111.6.121.6.131.6.141.6.151.6.161.6.171.6.181.6.191.6.21.6.201.6.21+ 85 więcej