CVE-2026-12627

KrytyczneCVSS 9.8

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 01/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Streszczenie

Fortra Core Privileged Access Manager (BoKS) zawiera podatność przepełnienia bufora na stosie w komponencie boks_autoregisterd. Zdalny atakujący z dostępem sieciowym do usługi autoregistracji może wywołać uszkodzenie pamięci podczas przetwarzania odpowiedzi klienta.

Ocena ryzyka

Zdalny atakujący może doprowadzić do uszkodzenia pamięci w usłudze autoregistracji, co potencjalnie umożliwia wykonanie kodu lub destabilizację systemu zarządzania uprawnieniami.

Rekomendacja

Zastosuj poprawki dostarczone przez Fortra dla boks_autoregisterd i ogranicz dostęp sieciowy do usługi autoregistracji wyłącznie do zaufanych klientów.

Inne podatności w Fortra BoKS

CVE-2026-79901Krytyczne
W środowiskach korzystających z zarządzania keytab w BoKS podatne wersje boks_keytabmd generują hasła kont usług Active Directory na podstawie przewidywalnej sekwencji pseudolosowej z ziarnem opartym na bieżącym znaczniku czasu Uniksa. Atakujący znający nazwę service principal i mogący oszacować czas zmiany hasła może odtworzyć ograniczony zbiór kandydatów i zweryfikować je offline.

Oryginalny opis (angielski, źródło NVD)

Fortra's Core Privileged Access Manager (BoKS) contains a stack-based buffer overflow vulnerability in boks_autoregisterd. A remote attacker with network access to the autoregistration service may be able to trigger memory corruption during client response processing.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS