CVSS: 8.6EPSS: 0%CPEs: 2EXPL: 0CVE-2019-11289 – A forged route service request using an invalid nonce can cause the gorouter to panic and crash
https://notcve.org/view.php?id=CVE-2019-11289
Cloud Foundry Routing, all versions before 0.193.0, does not properly validate nonce input. A remote unauthenticated malicious user could forge an HTTP route service request using an invalid nonce that will cause the Gorouter to crash. Cloud Foundry Routing, todas las versiones anteriores a la versión 0.193.0, no valida correctamente la entrada nonce. Un usuario malintencionado remoto no autenticado podría falsificar una solicitud de servicio de ruta HTTP utilizando un nonce no válido que provocará el bloqueo del Gorouter. • https://www.cloudfoundry.org/blog/cve-2019-11289 • CWE-20: Improper Input Validation •
CVSS: 8.8EPSS: 0%CPEs: 2EXPL: 0CVE-2019-11283 – Password leak in smbdriver logs
https://notcve.org/view.php?id=CVE-2019-11283
Cloud Foundry SMB Volume, versions prior to v2.0.3, accidentally outputs sensitive information to the logs. A remote user with access to the SMB Volume logs can discover the username and password for volumes that have been recently created, allowing the user to take control of the SMB Volume. Cloud Foundry SMB Volume, versiones anteriores a v2.0.3, imprime accidentalmente información confidencial en los registros. Un usuario remoto con acceso a los registros de SMB Volume puede descubrir el nombre de usuario y la contraseña de los volúmenes que han sido diseñado recientemente, permitiendo tomar el control de SMB Volume. • https://www.cloudfoundry.org/blog/cve-2019-11283 • CWE-532: Insertion of Sensitive Information into Log File •
CVSS: 4.3EPSS: 0%CPEs: 2EXPL: 0CVE-2019-11282 – UAA is vulnerable to a Blind SCIM injection leading to information disclosure
https://notcve.org/view.php?id=CVE-2019-11282
Cloud Foundry UAA, versions prior to v74.3.0, contains an endpoint that is vulnerable to SCIM injection attack. A remote authenticated malicious user with scim.invite scope can craft a request with malicious content which can leak information about users of the UAA. Cloud Foundry UAA, versiones anteriores a v74.3.0, contiene un endpoint que es vulnerable al ataque de inyección SCIM. Un usuario malicioso autenticado remoto con alcance de scim.invite puede diseñar una petición con contenido malicioso que puede filtrar información sobre los usuarios de la UAA. • https://www.cloudfoundry.org/blog/cve-2019-11282 • CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2019-11279 – Privilege Escalation via Scope Manipulation in UAA
https://notcve.org/view.php?id=CVE-2019-11279
CF UAA versions prior to 74.1.0 can request scopes for a client that shouldn't be allowed by submitting an array of requested scopes. A remote malicious user can escalate their own privileges to any scope, allowing them to take control of UAA and the resources it controls. CF UAA versiones anteriores a 74.1.0, puede solicitar ámbitos para un cliente que no debió ser permitido mediante el envío de una conjunto de ámbitos solicitados. Un usuario malicioso remoto puede escalar sus propios privilegios a cualquier ámbito, permitiéndole entonces tomar el control de UAA y de los recursos que controla. • https://www.cloudfoundry.org/blog/cve-2019-11279 • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2019-11278 – Privilege Escalation via Blind SCIM Injection in UAA
https://notcve.org/view.php?id=CVE-2019-11278
CF UAA versions prior to 74.1.0, allow external input to be directly queried against. A remote malicious user with 'client.write' and 'groups.update' can craft a SCIM query, which leaks information that allows an escalation of privileges, ultimately allowing the malicious user to gain control of UAA scopes they should not have. CF UAA versiones anteriores a 74.1.0, permite que la entrada externa sea consultada directamente. Un usuario malicioso remoto con "client.write" y "groups.update" puede diseñar una consulta SCIM, que filtra información que permite una escalada de privilegios, finalmente permitiendo al usuario malicioso conseguir el control de los ámbitos UAA que no deberían tener. • https://www.cloudfoundry.org/blog/cve-2019-11278 • CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') •