CVE-2026-120715
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Server-side request forgery w walidacji poświadczeń Active Directory w Devolutions Server 2026.3.12.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach przechwycić hash NetNTLMv2 konta usługi DVLS poprzez nazwę domeny kontrolowaną przez atakującego w żądaniu.
Ocena ryzyka
Przechwycenie hasha NetNTLMv2 konta usługi może umożliwić atakującemu jego złamanie lub wykorzystanie w atakach relay, prowadząc do eskalacji uprawnień.
Rekomendacja
Zaktualizuj Devolutions Server do wersji nowszej niż 2026.3.12.0 oraz ogranicz możliwość podawania nazw domen przez użytkowników.
Inne podatności w Devolutions Server
Zobacz wszystkie- CVE-2026-93330Średnie
W Devolutions Server 2026.3.5 nieprawidłowe egzekwowanie reguł w dostawcy PAM Active Directory pozwala użytkownikowi z uprawnieniami edycji PAM na obejście zestawu reguł hosta Devolutions Gateway.
- CVE-2026-100289Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API tokena skanowania sieci bramy pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wygenerowanie tokena skanowania sieci i przeprowadzenie wewnętrznego wykrywania sieci oraz skanowania portów przez bramę za pomocą spreparowanego żądania API.
- CVE-2026-100287Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API historii załączników pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na trwałe usunięcie lub przywrócenie załączników sejfu za pomocą spreparowanego żądania API.
- CVE-2026-100286Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API ustawień źródła danych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na ujawnienie sekretów integracji za pomocą spreparowanego żądania API.
- CVE-2026-121580Wysokie
W Devolutions Server w wersji 2026.2.22.0 i wcześniejszych występuje podatność Server-Side Request Forgery (SSRF) w wyszukiwaniu filtrów zgłoszeń Jira. Uwierzytelniony użytkownik z niskimi uprawnieniami może uzyskać przechowywane dane uwierzytelniające konta usługi Jira poprzez adres serwera kontrolowany przez atakującego w żądaniu.
- CVE-2026-120734Średnie
Przesyłanie poufnych informacji w postaci jawnej w teście konfiguracji e-mail w Devolutions Server 2026.3.13.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z dostępem do akcji testowej uzyskać zapisane hasło SMTP poprzez żądanie wskazujące hosta SMTP kontrolowanego przez atakującego.
- CVE-2026-120733Wysokie
Przechowywanie poufnych informacji w postaci jawnej w danych konta użytkownika w Devolutions Server 2026.3.12.0 i wcześniejszych pozwala atakującemu z dostępem do odczytu bazy danych lub jej kopii zapasowej uzyskać wspólne sekrety TOTP użytkowników poprzez niezaszyfrowaną kopię klucza bezpieczeństwa zapisywaną przy zapisie użytkownika przez administratora.
- CVE-2026-120716Średnie
Wstawienie poufnych informacji do wysyłanych danych w synchronizacji użytkowników dostawcy tożsamości w Devolutions Server 2026.3.13.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z delegowanym uprawnieniem do aktualizacji użytkowników z dostawcy tożsamości uzyskać sekrety MFA innych użytkowników poprzez odpowiedź API synchronizacji.
- CVE-2026-119636Wysokie
Podatność w Devolutions Server (wersje 2025.3.2.0–2026.2.22.0) polega na nieprawidłowym zwalnianiu wygasłych uprzywilejowanych sesji PAM w zadaniu zaplanowanego check-inu. Uwierzytelniony użytkownik z prawem checkout może zachować dostęp do konta PAM na systemie docelowym po wygaśnięciu sesji, jeśli w kolejce znajduje się 21 lub więcej nowszych aktywnych checkoutów, co blokuje check-in wygasłej sesji i rotację hasła.
- CVE-2026-114487Średnie
W Devolutions Server w wersjach 2026.3.5.0–2026.3.10.0 oraz 2026.2.20.0 i wcześniejszych brakuje kontroli autoryzacji w punkcie końcowym importu komputerów AD w module PAM. Uwierzytelniony użytkownik bez uprawnień administracyjnych, posiadający licencję PAM, może tworzyć poddostawców PAM w ramach istniejących dostawców AD za pomocą spreparowanego żądania importu.
Oryginalny opis (angielski, źródło NVD)
Server-side request forgery in the Active Directory credential validation in Devolutions Server 2026.3.12.0 and earlier allows an authenticated low-privileged user to capture the NetNTLMv2 hash of the DVLS service account via an attacker-controlled domain name in the request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS