CVE-2026-119636
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Podatność w Devolutions Server (wersje 2025.3.2.0–2026.2.22.0) polega na nieprawidłowym zwalnianiu wygasłych uprzywilejowanych sesji PAM w zadaniu zaplanowanego check-inu. Uwierzytelniony użytkownik z prawem checkout może zachować dostęp do konta PAM na systemie docelowym po wygaśnięciu sesji, jeśli w kolejce znajduje się 21 lub więcej nowszych aktywnych checkoutów, co blokuje check-in wygasłej sesji i rotację hasła.
Ocena ryzyka
Użytkownik z prawem checkout może utrzymać dostęp do uprzywilejowanego konta po wygaśnięciu sesji, co narusza kontrolę dostępu i może umożliwić nieautoryzowane działania na systemie docelowym. Brak rotacji hasła zwiększa ryzyko jego nadużycia.
Rekomendacja
Zaktualizuj Devolutions Server do wersji nowszej niż 2026.2.22.0, która naprawia tę podatność. Do czasu aktualizacji monitoruj kolejki checkoutów PAM i ogranicz liczbę równoczesnych aktywnych sesji.
Inne podatności w Devolutions Server
Zobacz wszystkie- CVE-2026-93330Średnie
W Devolutions Server 2026.3.5 nieprawidłowe egzekwowanie reguł w dostawcy PAM Active Directory pozwala użytkownikowi z uprawnieniami edycji PAM na obejście zestawu reguł hosta Devolutions Gateway.
- CVE-2026-100289Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API tokena skanowania sieci bramy pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wygenerowanie tokena skanowania sieci i przeprowadzenie wewnętrznego wykrywania sieci oraz skanowania portów przez bramę za pomocą spreparowanego żądania API.
- CVE-2026-100287Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API historii załączników pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na trwałe usunięcie lub przywrócenie załączników sejfu za pomocą spreparowanego żądania API.
- CVE-2026-100286Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API ustawień źródła danych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na ujawnienie sekretów integracji za pomocą spreparowanego żądania API.
- CVE-2026-121580Wysokie
W Devolutions Server w wersji 2026.2.22.0 i wcześniejszych występuje podatność Server-Side Request Forgery (SSRF) w wyszukiwaniu filtrów zgłoszeń Jira. Uwierzytelniony użytkownik z niskimi uprawnieniami może uzyskać przechowywane dane uwierzytelniające konta usługi Jira poprzez adres serwera kontrolowany przez atakującego w żądaniu.
- CVE-2026-120734Średnie
Przesyłanie poufnych informacji w postaci jawnej w teście konfiguracji e-mail w Devolutions Server 2026.3.13.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z dostępem do akcji testowej uzyskać zapisane hasło SMTP poprzez żądanie wskazujące hosta SMTP kontrolowanego przez atakującego.
- CVE-2026-120733Wysokie
Przechowywanie poufnych informacji w postaci jawnej w danych konta użytkownika w Devolutions Server 2026.3.12.0 i wcześniejszych pozwala atakującemu z dostępem do odczytu bazy danych lub jej kopii zapasowej uzyskać wspólne sekrety TOTP użytkowników poprzez niezaszyfrowaną kopię klucza bezpieczeństwa zapisywaną przy zapisie użytkownika przez administratora.
- CVE-2026-120716Średnie
Wstawienie poufnych informacji do wysyłanych danych w synchronizacji użytkowników dostawcy tożsamości w Devolutions Server 2026.3.13.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z delegowanym uprawnieniem do aktualizacji użytkowników z dostawcy tożsamości uzyskać sekrety MFA innych użytkowników poprzez odpowiedź API synchronizacji.
- CVE-2026-120715Wysokie
Server-side request forgery w walidacji poświadczeń Active Directory w Devolutions Server 2026.3.12.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach przechwycić hash NetNTLMv2 konta usługi DVLS poprzez nazwę domeny kontrolowaną przez atakującego w żądaniu.
- CVE-2026-114487Średnie
W Devolutions Server w wersjach 2026.3.5.0–2026.3.10.0 oraz 2026.2.20.0 i wcześniejszych brakuje kontroli autoryzacji w punkcie końcowym importu komputerów AD w module PAM. Uwierzytelniony użytkownik bez uprawnień administracyjnych, posiadający licencję PAM, może tworzyć poddostawców PAM w ramach istniejących dostawców AD za pomocą spreparowanego żądania importu.
Oryginalny opis (angielski, źródło NVD)
Improper release of expired privileged access checkouts in the PAM scheduled check-in task in Devolutions Server 2025.3.2.0 through 2026.2.22.0 allows an authenticated user with checkout rights on a PAM account to retain access to that account on the target system after the checkout expires via a backlog of 21 or more newer active checkouts that prevents the expired checkout from being checked in and its password from being rotated.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS