در Cloud Foundry، پیام تکمیل staging باید از مسیر مورد اعتماد به Cloud Controller برسد. رکورد رسمی توضیح می‌دهد که پیکربندی Nginx دسترسی عمومی به مسیرهای داخلی نسخه‌های چهار و پنج را می‌بست، اما برای مسیر نسخهٔ سه قاعدهٔ متناظر وجود نداشت. در نتیجه دو callback تکمیل build و droplet از شنوندهٔ عمومی API بدون OAuth یا TLS متقابل قابل دسترسی بودند. وجود واژهٔ «داخلی» در نشانی مسیر به تنهایی آن را از شبکهٔ عمومی جدا نمی‌کند.
برای جعل پیام، شناسهٔ معتبر build یا droplet لازم است. رکورد می‌گوید نقشی مانند SpaceAuditor می‌تواند شناسه‌ها را ببیند بی‌آنکه اجازهٔ نوشتن داشته باشد. پذیرش callback جعلی این مرز را می‌شکند و می‌تواند droplet را به وضعیت STAGED ببرد و فرادادهٔ فرایند و sidecar را بدون بسته یا عامل مرتبط ثبت کند. پیامد تأییدشده دستکاری وضعیت و فراداده است. برای ادعای اجرای یک برنامهٔ مشخص در محیط واقعی باید شواهد بیشتری از زنجیرهٔ استقرار وجود داشته باشد.
ارزیابی و اقدام عملی
نسخه‌های CAPI پیش از v1.247.0 و cf-deployment پیش از 60.7.0 در دادهٔ رسمی متأثرند. نسخهٔ هر دو جزء و پیکربندی اعمال‌شدهٔ مسیریاب را بررسی کنید. یک تیم ممکن است manifest استقرار را به‌روز کرده باشد، ولی گره‌ای همچنان با تنظیمات پیشین درخواست بپذیرد. اطلاعیهٔ Cloud Foundry در ۲۰ اکتبر منتشر شده و رکورد CVE در ۳۰ اکتبر ثبت عمومی شده است. این دو تاریخ به رویدادهای متفاوت اشاره می‌کنند و برای پیگیری داخلی باید جدا نگه داشته شوند.
پس از اعمال اصلاح، یک build مجاز را تا انتها اجرا کنید و بررسی کنید مسیر عمومی به عملیات داخلی دسترسی نمی‌دهد. آزمون صرفاً موفقیت build برای اثبات سد دسترسی بیرونی کافی نیست. در بررسی گذشته، انتقال‌های غیرعادی به STAGED، نبود بستهٔ متناظر، تغییر فرادادهٔ فرایند و منشأ درخواست callback را با سابقهٔ استقرار تطبیق دهید. اگر ناسازگاری پیدا شد، نسخهٔ قبلی تعریف فرایند و شواهد مسیریابی را حفظ کنید. برای بستن کار، نسخهٔ فعال اجزا و نتیجهٔ هر دو آزمون عملیاتی و دسترسی را ثبت کنید.
امتیاز و منابع
امتیاز پایهٔ ثبت‌شده توسط vmware برابر 8.8 در CVSS 3.1 است. بردار ارزیابی: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. تاریخ انتشار رکورد ۳۰ اکتبر ۲۰۲۶ است.
تصویر همراه نشان Cloud Foundry برای معرفی محصول یا سازنده است.
