CVE-2026-15638
KrytyczneCVSS 9.1Streszczenie
Nieuwierzytelniony użytkownik z dostępem do Secret Server może wykorzystać padding oracle do odszyfrowania lub zaszyfrowania danych przy użyciu jednego z kluczy kryptograficznych serwera. Sam klucz nie jest ujawniany.
Ocena ryzyka
Atakujący może odszyfrować lub zmodyfikować dane chronione przez serwer, co może prowadzić do ujawnienia poufnych informacji lub naruszenia integralności danych.
Rekomendacja
Zastosuj dostępne poprawki producenta dla Secret Server dotyczące podatności padding oracle. Do czasu wdrożenia poprawki rozważ ograniczenie dostępu do interfejsów podatnych na atak.
Inne podatności w Secret Server
Zobacz wszystkie- CVE-2026-15640Krytyczne
W pewnych warunkach prawidłowa odpowiedź SAML IdP może zostać wykorzystana do podszycia się pod innego użytkownika Secret Server. Podatność dotyczy mechanizmu uwierzytelniania SAML.
- CVE-2026-15639Krytyczne
Atakujący może spreparować złośliwy link, który — jeśli zostanie użyty przez legalnego użytkownika — może spowodować uruchomienie w przeglądarce użytkownika kodu JavaScript dostarczonego przez atakującego. Podatność dotyczy mechanizmu przetwarzania linków.
Oryginalny opis (angielski, źródło NVD)
An unauthenticated user with access to Secret Server could leverage a padding oracle to decrypt or encrypt data using one of the server's cryptographic keys. The key itself is not exposed.