PT-2026-46134 · Bosh · Bosh

CVE-2026-41860 · Publicado 2026-06-04 · Atualizado 2026-07-22

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas BOSH versões anteriores a 282.1.9

Descrição Um problema no BOSH permite que um invasor local realize ataques de Man-in-the-Middle (MITM) para roubar credenciais de Basic-auth ou redirecionar solicitações de token UAA. Isso ocorre porque as funções create async endpoint() e send http get request synchronous() dentro do HttpRequestHelper codificam rigidamente a configuração OpenSSL::SSL::VERIFY NONE, o que desativa a verificação de certificado SSL para solicitações HTTP de saída. Um invasor com acesso local à rede pode interceptar o tráfego entre o bosh-monitor e o diretor BOSH ou UAA.

Recomendações Atualize para a versão 282.1.9 ou posterior.

Correção

Inadequate Encryption Strength

Enumeração de Fraquezas

CWE-326

Identificadores relacionados

CVE-2026-41860

Produtos afetados

Bosh

Referências · 6

• https://t.me/cveNotify/213335 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-41860 · Nota de Segurança
• https://twitter.com/HugoValters/status/2063788101084815794 · Publicação no Twitter
• https://t.me/CVEtracker/55779 · Publicação no Telegram
• https://reddit.com/r/pwnhub/comments/1twrslv/critical_bosh_vulnerability_exposes_users_to · Publicação no Reddit
• https://cloudfoundry.org/blog/cve-2026-41860-missing-tls-verify-on-bosh-monitor · Nota