PT-2026-45616 · Cloud Foundry · Cloud Foundry Uaa+1

Arthur Chan · Publicado 2026-06-01 · Atualizado 2026-06-07 · CVE-2026-40965

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas Cloud Foundry UAA versões v76.12.0 a v78.12.0 CF Deployment versões v30.0.0 a v56.0.0

Description A exposição de chaves privadas ocorre quando o servidor revela inadvertidamente chaves privadas de Curva Elíptica (EC) através do endpoint público '/token keys'. Embora este endpoint seja destinado a fornecer material de chave pública para a verificação de JSON Web Token (JWT), ele expõe incorretamente componentes de chaves privadas para chaves EC. Este problema afeta especificamente implementações que utilizam chaves EC para a assinatura de tokens JWT e não impacta configurações de chaves RSA.

Recommendations Atualize o Cloud Foundry UAA para a versão v78.13.0 ou posterior. Atualize o CF Deployment para a versão v56.1.0 ou posterior.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2026-40965

Produtos afetados

Cf-Deployment

Cloud Foundry Uaa

Referências · 8

• https://cloudfoundry.org/blog/cve-2026-40965-uaa-ec-private-key-disclosure · Nota
• https://twitter.com/HugoValters/status/2063696744634810849 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-40965 · Nota de Segurança
• https://twitter.com/CVEnew/status/2061590963840000420 · Publicação no Twitter
• https://twitter.com/CCBalert/status/2061805027761467413 · Publicação no Twitter
• https://t.me/CVEtracker/55539 · Publicação no Telegram
• https://twitter.com/UpwindMDR/status/2061809191564485102 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2061592644409557180 · Publicação no Twitter