CVE-2026-41860
Publiée le 2026-06-04 · Dernière modification le 2026-07-22
Les installations de BOSH antérieures à la version 282.1.9 sont concernées car le logiciel ne vérifie pas les certificats SSL lors des communications entre le moniteur et le directeur. Un attaquant disposant d'un accès local avec des privilèges restreints sur le système peut mener une attaque de l'homme du milieu (man-in-the-middle) pour intercepter ce trafic et voler des identifiants Basic-auth ou rediriger des jetons d'authentification. Cette exploitation est relativement facile à exécuter une fois que l'attaquant a établi un point d'entrée sur la machine locale.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
CWE-326 in BOSH allows a local attacker to steal Basic-auth credentials or redirect UAA token requests via MITM. HttpRequestHelper#create_async_endpoint and #send_http_get_request_synchronous hard-code OpenSSL::SSL::VERIFY_NONE, enabling an attacker to intercept traffic between bosh-monitor and the BOSH director or UAA and steal credentials. Affected versions: - BOSH: all versions prior to v282.1.9 (inclusive); fixed in v282.1.9 or later