CVE-2026-115828
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W wersjach Secret Server starszych niż 12.3.1 aplikacja nie zawsze weryfikowała PIN ani kontrolę biometryczną podczas korzystania z urządzenia zgodnego z FIDO2. Może to pozwolić na obejście dodatkowej weryfikacji drugiego czynnika.
Ocena ryzyka
Osoba posiadająca samo urządzenie FIDO2 mogłaby uzyskać dostęp bez wymaganego PIN-u lub biometrii, osłabiając uwierzytelnianie wieloskładnikowe. Stanowi to ryzyko nieautoryzowanego dostępu do przechowywanych sekretów.
Rekomendacja
Zaktualizuj Secret Server do wersji 12.3.1 lub nowszej. Zweryfikuj, czy uwierzytelnianie FIDO2 wymaga PIN-u i biometrii zgodnie z polityką bezpieczeństwa.
Inne podatności w Secret Server
Zobacz wszystkie- CVE-2026-15640Krytyczne
W pewnych warunkach prawidłowa odpowiedź SAML IdP może zostać wykorzystana do podszycia się pod innego użytkownika Secret Server. Podatność dotyczy mechanizmu uwierzytelniania SAML.
- CVE-2026-15639Krytyczne
Atakujący może spreparować złośliwy link, który — jeśli zostanie użyty przez legalnego użytkownika — może spowodować uruchomienie w przeglądarce użytkownika kodu JavaScript dostarczonego przez atakującego. Podatność dotyczy mechanizmu przetwarzania linków.
- CVE-2026-15638Krytyczne
Nieuwierzytelniony użytkownik z dostępem do Secret Server może wykorzystać padding oracle do odszyfrowania lub zaszyfrowania danych przy użyciu jednego z kluczy kryptograficznych serwera. Sam klucz nie jest ujawniany.
- CVE-2026-115830Wysokie
W Secret Server w wersjach starszych niż 12.3.1 użytkownik w pewnych warunkach mógł przesłać niepodpisany JWT i otrzymać w odpowiedzi uprawnienia cloudadmin. Podatność pozwala na eskalację uprawnień do poziomu administracyjnego.
- CVE-2026-115829Wysokie
W Secret Server w wersjach starszych niż 12.3.1 użytkownik mógł pominąć początkowy krok logowania i uwierzytelnić się, pomyślnie negocjując jedynie drugi etap logowania (drugi czynnik). Podatność omija pierwszy czynnik uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
In Secret Server versions earlier than 12.3.1, Secret Server did not always validate the PIN or biometric check when using a FIDO2-compliant device
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS