CVE-2026-14536
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W Devolutions Server 2026.2.9.0 stwierdzono nieprawidłowe egzekwowanie obowiązkowej polityki uwierzytelniania wieloskładnikowego (MFA). Atakujący posiadający prawidłowe dane logowania użytkownika może ominąć politykę wymagającą MFA i uwierzytelnić się bez przejścia pełnego procesu MFA. Problem występuje, gdy DVLS napotka nieprawidłową domyślną wartość MFA.
Ocena ryzyka
Ryzyko polega na tym, że osoba atakująca z wykradzionymi lub odgadniętymi danymi logowania może uzyskać dostęp do systemu bez drugiego składnika uwierzytelniania, co narusza podstawowe zabezpieczenia i może prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
Rekomendacja
Należy niezwłocznie zaktualizować Devolutions Server do wersji, w której poprawiono egzekwowanie polityki MFA. Do czasu aktualizacji zaleca się monitorowanie logów uwierzytelniania pod kątem nietypowych prób logowania oraz tymczasowe wzmocnienie innych mechanizmów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Improper enforcement of a mandatory multi-factor authentication policy in Devolutions Server 2026.2.9.0 allows an attacker with valid user credentials to bypass the MFA Required policy and authenticate without completing multi-factor authentication. The problem occurs when DVLS encounters an invalid default MFA value.