Podatności Devolutions Server

Nieprawidłowa walidacja certyfikatów przy połączeniach LDAPS do Active Directory w Devolutions Server 2026.2.16 i wcześniejszych pozwala atakującemu z pozycji sieciowej na przechwycenie uprzywilejowanych poświadczeń usługi katalogowej poprzez sfałszowany certyfikat kontrolera domeny. Podatność umożliwia atak typu man-in-the-middle.

Podatność typu Server-Side Request Forgery (SSRF) w funkcji synchronizacji VMware w Devolutions Server 2026.2.16 i wcześniejszych pozwala nisko uprzywilejowanemu uwierzytelnionemu użytkownikowi na uzyskanie poświadczeń innych użytkowników oraz dostęp do wewnętrznych lub chmurowych punktów końcowych metadanych poprzez spreparowaną definicję połączenia przesłaną do odkrywania centrum danych. Podatność może być wykorzystana do eskalacji uprawnień i ruchu bocznego.

Nieprawidłowa kontrola dostępu w funkcji listowania wpisów sejfu w Devolutions Server 2026.2.16 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi bez uprawnienia view-password na uzyskanie haseł w postaci jawnej poprzez żądanie do punktu końcowego listowania wpisów z parametrami ujawniania haseł. Podatność narusza poufność przechowywanych poświadczeń.

Nieprawidłowa walidacja certyfikatów we wspólnym kliencie HTTP używanym przez funkcje synchronizacji i integracji w Devolutions Server 2026.2.16 i wcześniejszych pozwala atakującemu w sieci na przechwycenie i modyfikację wychodzących połączeń TLS za pomocą sfałszowanego lub samopodpisanego certyfikatu.

W Devolutions Server od wersji 2026.2.4.0 do 2026.2.12.0 oraz w wersji 2026.1.23.0 i wcześniejszych, niewłaściwa kontrola dostępu w punktach końcowych historii haseł PAM pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na ujawnienie tajnych haseł w postaci jawnego tekstu poprzez spreparowane żądania API.

Podatność nieprawidłowej kontroli dostępu w synchronizatorze NetBox w Devolutions Server. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może uzyskać token API przechowywany dla wpisu.

Podatność w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi niebędącemu administratorem, posiadającemu uprawnienia do zarządzania członkostwem w grupach użytkowników, eskalację uprawnień do administratora poprzez spreparowane żądanie API. Problem dotyczy wersji od 2026.2.4.0 do 2026.2.12.0 oraz 2026.1.23.0 i wcześniejszych.

W Devolutions Server 2026.1.22.0 i 2026.2.11.0 w funkcji generowania pliku odpowiedzi Recovery Kit następuje wstawienie poufnych informacji do pliku. Umożliwia to atakującemu z dostępem do wygenerowanego pliku odczytanie sekretu klienta Azure Key Vault w postaci jawnego tekstu, nawet gdy wybrano opcję wykluczenia poufnych danych.

Podatność w Devolutions Server 2026.2.11 i 2026.1.22 umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami zatwierdzenie własnego oczekującego żądania dostępu poprzez bezpośrednie wywołanie endpointu statusu żądania, z pominięciem wymaganego przeglądu przez osobę zatwierdzającą.

Podatność w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami ujawnienie klucza prywatnego SSH lub certyfikatu PAM poprzez bezpośrednie odwołanie do identyfikatora poświadczenia. Problem dotyczy punktów końcowych pobierania kluczy SSH i certyfikatów PAM.

Podatność w Devolutions Server 2026.2.11 i 2026.1.22 umożliwia uwierzytelnionemu użytkownikowi usunięcie wiadomości innego użytkownika poprzez bezpośrednie odwołanie do identyfikatora wiadomości w punkcie końcowym usuwania bezpiecznych wiadomości. Problem wynika z nieprawidłowej autoryzacji.

W Devolutions Server 2026.2.9.0 stwierdzono nieprawidłowe egzekwowanie obowiązkowej polityki uwierzytelniania wieloskładnikowego (MFA). Atakujący posiadający prawidłowe dane logowania użytkownika może ominąć politykę wymagającą MFA i uwierzytelnić się bez przejścia pełnego procesu MFA. Problem występuje, gdy DVLS napotka nieprawidłową domyślną wartość MFA.

Podatność w Devolutions Server w wersjach 2026.2.4.0 do 2026.2.7.0 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniem UserGroupsView wymuszenie uwierzytelnienia po stronie serwera na kontrolowanym przez atakującego hoście. Poprzez spreparowany parametr DomainName w punktach końcowych wykrywania PAM AD, atakujący może przechwycić dane uwierzytelniające dostawcy PAM w postaci odpowiedzi wyzwania NTLMv2.

W Devolutions Server 2026.2.5 występuje niewłaściwa kontrola dostępu w punkcie końcowym logowania społecznościowego, co pozwala uwierzytelnionemu członkowi skarbca na enumerację metadanych logowania społecznościowego, do których nie ma uprawnień.

W Devolutions Server 2026.2.5 oraz 2026.1.21 występuje niewłaściwa kontrola dostępu, która pozwala uwierzytelnionemu użytkownikowi na dostęp do załączników poprzez duplikację folderów z dziedziczonymi uprawnieniami.

Brak autoryzacji w API usuniętych grup użytkowników w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wyliczenie metadanych usuniętych grup poprzez spreparowane żądanie API.

Nieprawidłowa kontrola dostępu w ustawieniach integracji z systemami biletowymi w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi o niskich uprawnieniach uzyskanie haseł w czystym tekście dla skonfigurowanych integracji poprzez spreparowane żądanie API. Problem dotyczy Devolutions Server 2026.2.4.0 oraz 2026.1.20.0 i wcześniejszych.

Podatność w Devolutions Server pozwala uwierzytelnionemu użytkownikowi z prawem zapisu do sejfu na wykonanie dowolnych poleceń na systemach zarządzanych przez dostawcę PAM. Problem występuje w szablonach rotacji haseł wbudowanego dostawcy PAM.

Devolutions Server 2026.1.19 i wcześniejsze wersje mają nieprawidłową kontrolę dostępu w komponencie walidacji uprawnień. Uwierzytelniony użytkownik z uprawnieniami do edycji wpisów może modyfikować informacje o zasobach bez wymaganych uprawnień.

Devolutions Server 2026.1.19 i wcześniejsze wersje mają nieprawidłową kontrolę dostępu w funkcji wykrywania kont PAM, co pozwala uwierzytelnionemu użytkownikowi bez uprawnień administracyjnych na usuwanie konfiguracji skanowania sieci.

Devolutions Server w wersjach 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych ma brak autoryzacji w funkcji zarządzania statusem wpisów. Uwierzytelniony użytkownik niebędący administratorem może ominąć wymagany przez administratora przepływ zatwierdzania i uzyskać dostęp do danych wpisu poprzez spreparowane żądanie zmiany statusu.

W Devolutions Server w wersjach 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych, niezweryfikowana zmiana hasła pozwala atakującemu na zmianę hasła użytkownika bez podania poprzedniego, poprzez spreparowane żądanie zmiany hasła.

W Devolutions Server w wersjach 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych, ominięcie autoryzacji w funkcji duplikowania wpisów pozwala uwierzytelnionemu użytkownikowi z dostępem do zapisu w dowolnym sejfie na skopiowanie dokumentacji i załączników z wpisu w sejfie, do którego nie ma dostępu, poprzez spreparowane żądanie zapisu.

W Devolutions Server, niewystarczające logowanie w funkcji eksportu wpisów pozwala uwierzytelnionemu użytkownikowi z uprawnieniami eksportu na wyeksportowanie zapieczętowanego wpisu bez wywołania powiadomienia o odpieczętowaniu dla administratorów, poprzez spreparowane żądanie eksportu.

W Devolutions Server wykryto problem z kontrolą dostępu w funkcjach dokumentacji i załączników wpisów. Uwierzytelniony użytkownik z dostępem do odczytu sejfu może pobrać dokumentację i załączniki zapieczętowanych wpisów poprzez spreparowane żądanie API.

Nieprawidłowa walidacja wejścia w przepływie zewnętrznego dostawcy uwierzytelniania w Devolutions Server umożliwia nieuwierzytelnionemu zdalnemu atakującemu przekierowanie ofiar do kontrolowanej domeny za pomocą spreparowanego linku logowania. Podatność dotyczy wersji 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych.

W Devolutions Server brak autoryzacji w funkcji aktualizacji profilu użytkownika pozwala uwierzytelnionemu użytkownikowi Active Directory na modyfikację własnych atrybutów profilu poprzez spreparowane żądanie API.

W Devolutions Server do wersji 2026.1.16.0 brak autoryzacji w funkcji importu sejfów pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na tworzenie nowych sejfów poprzez spreparowane żądanie importu.

Nieprawidłowe zarządzanie stanem klucza czynnika w funkcji zarządzania uwierzytelnianiem wieloskładnikowym w Devolutions Server umożliwia atakującemu znającemu hasło użytkownika ominięcie uwierzytelniania wieloskładnikowego po rekonfiguracji czynników przez użytkownika.

W Devolutions Server wykryto problem z egzekwowaniem przepływu pracy dla zapieczętowanych wpisów w funkcji pobierania wrażliwych danych. Uwierzytelniony użytkownik mający dostęp do zapieczętowanego wpisu może pobrać jego wrażliwe dane bez wywołania audytu odpieczętowania, wykorzystując spreparowane żądanie API. Problem dotyczy wersji 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych.

Nieprawidłowa autoryzacja w funkcji przeglądania Active Directory w Devolutions Server. Niskouprzywilejowany uwierzytelniony użytkownik może uzyskać materiały uwierzytelniające powiązane z kontem usługi PAM poprzez przekierowanie uwierzytelniania na serwer kontrolowany przez atakującego.

Niewłaściwa kontrola dostępu w funkcji dziennika aktywności wpisów w Devolutions Server pozwala uwierzytelnionemu użytkownikowi z dostępem do wpisu, ale bez wymaganych uprawnień, na pobranie dziennika aktywności tego wpisu poprzez spreparowane żądanie API. Problem dotyczy wersji 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych.