CVE-2016-6651
Publiée le 2016-09-30 · Dernière modification le 2026-06-17
Les utilisateurs de Pivotal Cloud Foundry (PCF) et des services d'identité UAA associés sont concernés par une faille au niveau du point de terminaison des jetons (token endpoint). Un attaquant disposant d'un compte utilisateur standard peut exploiter cette vulnérabilité pour augmenter ses privilèges, obtenant ainsi un contrôle total sur la confidentialité, l'intégrité et la disponibilité du système. Cette attaque est relativement simple à exécuter via un réseau et ne nécessite qu'une authentification basique, sans aucune interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The UAA /oauth/token endpoint in Pivotal Cloud Foundry (PCF) before 243; UAA 2.x before 2.7.4.8, 3.x before 3.3.0.6, and 3.4.x before 3.4.5; UAA BOSH before 11.7 and 12.x before 12.6; Elastic Runtime before 1.6.40, 1.7.x before 1.7.21, and 1.8.x before 1.8.2; and Ops Manager 1.7.x before 1.7.13 and 1.8.x before 1.8.1 allows remote authenticated users to gain privileges by leveraging possession of a token.