Cloud Foundry CAPI: Fehlerhafte Zugriffskontrolle in Cloud Controller API
Zusammenfassung
Das Nginx-Routing der Cloud Controller API blockiert unauthentifizierten Zugriff auf /internal/v4/ und /internal/v5/, aber nicht auf /internal/v3/. Die Staging-Callback-Endpunkte unter /internal/v3/ sind daher über den öffentlichen API-Listener ohne OAuth oder gegenseitiges TLS erreichbar. Ein Angreifer mit einer gültigen Build- oder Droplet-GUID kann gefälschte Staging-Callbacks senden, einen Droplet auf STAGED setzen und beliebige Prozess-Metadaten und Sidecar-Daten speichern, und ein SpaceAuditor, der GUIDs ohne Schreibrechte auflisten kann, kann dies nutzen, um seine Rolle zu überschreiten.
Betroffen
- CAPI (Cloud Controller API) vor v1.247.0 gemäss CVE-Eintrag (das Herstelleradvisory bestätigt Versionen bis und mit v1.245.0)
- cf-deployment vor 60.7.0
Behoben in
- CAPI v1.246.0 oder neuer (Herstelleradvisory)
- cf-deployment v60.7.0 oder neuer (enthält CAPI v1.247.0)
Umgehung
Unbekannt. Es konnte kein vom Hersteller dokumentierter Workaround verifiziert werden.
- Stellen Sie sicher, dass der öffentliche API-Listener keine /internal/-Pfade weiterleitet, einschliesslich /internal/v3/.
- Als temporäre Massnahme können /internal/-Pfade am Load Balancer oder Reverse Proxy blockiert werden. Testen Sie dies zuerst in einer Nicht-Produktionsumgebung.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Exploit bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
Unsere Empfehlung
- Prüfen Sie, ob CAPI oder cf-deployment direkt oder über eine verwaltete Plattform eingesetzt wird.
- Aktualisieren Sie CAPI auf v1.246.0 oder neuer bzw. cf-deployment auf v60.7.0 oder neuer.
- Schränken Sie bis zur Behebung die Rolle SpaceAuditor und vergleichbare Rollen ein und prüfen Sie die Edge-Logs auf Anfragen an /internal/v3/ (empfohlene Prüfung, kein bestätigter Hinweis auf eine Kompromittierung).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Cloud Foundry Security Advisory CVE-2026-59387 www.cloudfoundry.org
- cf-deployment Release v60.7.0 github.com
- capi-release Release 1.247.0 github.com
- VulDB CVE-2026-59387 vuldb.com
- Vulners CVE-2026-59387 (Cloud Foundry) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.