CVE-2026-78632

ŚrednieCVSS 5.3

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.07%

Percentyl 0 - wyżej niż 0% wszystkich znanych CVE

Streszczenie

Instalator Okta RADIUS Agent dla Windows nadaje uprawnienia zapisu podmiotom NT SERVICE\ALL SERVICES i CREATOR OWNER w katalogach zawierających konfigurację agenta, klucz szyfrowania AES oraz logi. Uprawnienia te pozwalają dowolnemu lokalnemu kontu usługi odczytać klucz AES i zaszyfrowany token API Okta.

Ocena ryzyka

Każde lokalne konto usługi może odczytać klucz szyfrowania i token API, co umożliwia podszycie się pod agenta i dostęp do chronionych zasobów.

Rekomendacja

Restrict permissions on the agent directories to the agent service account only and update the installer to a patched version.

Inne podatności w Okta RADIUS Agent

CVE-2026-78633Średnie
Agent Okta RADIUS nie waliduje długości podatrybutu podczas parsowania atrybutu Vendor-Specific. Długość podatrybutu równa zero powoduje nieskończoną pętlę parsera, co prowadzi do wyczerpania wątków roboczych i odmowy nowych żądań uwierzytelniania RADIUS.

Oryginalny opis (angielski, źródło NVD)

The Okta RADIUS Agent Windows installer assigns write permissions to the NT SERVICE\ALL SERVICES and CREATOR OWNER security principals on the directories containing the agent configuration, AES encryption key, and logs. These permissions allow any local service account on the host to read the AES encryption key and the encrypted Okta API token.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS