Sikkerhed og overholdelse
Vi opretholder de højeste standarder for at beskytte dine data og sikre tillid.
DEVO-2024-0002
Devolutions Server er berørt af flere sårbarheder
Berørte produkter
Ændringslog
2024-03-05 - Første offentliggørelse 2024-03-11 - Rettede versioner opdateret
Mangelfuld privilegiehåndtering i JIT-rettighedsforhøjelsesmodulet
7.0 Høj - CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N/U:Red
Mangelfuld privilegiehåndtering i just-in-time-rettighedsforhøjelsesmodulet (JIT) i Devolutions Server 2023.3.14.0 og tidligere versioner gør det muligt for en bruger at fortsætte med at bruge det ophøjede privilegium, selv efter det er udløbet, under særlige omstændigheder.
Du kan læse mere i følgende artikel i vidensbasen: https://redirection.devolutions.com/jit-group-revocation-error
CVE(s)
CVE-2024-1764
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2023.3.16.0 eller en nyere version
Tjenestenægtelse i PAM-legitimationsoplysninger
6.9 Mellem - CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H/U:Green
En tjenestenægtelse ved rotation af PAM-adgangskoder under indtjekningsprocessen (check-in) i Devolutions Server 2023.3.14.0 gør det muligt for en godkendt bruger med specifikke PAM-tilladelser at gøre PAM-legitimationsoplysningerne utilgængelige.
CVE(s)
CVE-2024-1901
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2024.1.0 eller en nyere version
Mangelfuld adgangskontrol i administrationsgrænsefladen for meddelelser
5.3 Mellem - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N/U:Green
Mangelfuld adgangskontrol i meddelelsesfunktionen i Devolutions Server 2023.3.14.0 og tidligere versioner gør det muligt for en bruger med lave privilegier at ændre de meddelelsesindstillinger, som en administrator har angivet.
CVE(s)
CVE-2024-1898
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2024.1.0 eller en nyere version
Mangelfuld sessionshåndtering med identitetsudbydere (Okta, O365)
6.0 Mellem - CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/U:Amber
Mangelfuld sessionshåndtering i godkendelsesforløbet for identitetsudbydere i Devolutions Server 2023.3.14.0 og tidligere versioner gør det muligt for en bruger, der er godkendt via en identitetsudbyder, at forblive godkendt, efter at brugeren er blevet deaktiveret eller slettet hos identitetsudbyderen, f.eks. Okta eller Microsoft O365.
Brugeren forbliver godkendt, indtil tokenet i Devolutions Server udløber.
CVE(s)
CVE-2024-1900
Afhjælpning og alternative løsninger
Nye installationer af Devolutions Server 2024.1.0 er ikke berørt.
For installationer, der er opdateret til Devolutions Server 2024.1.0, skal du se advarslen i sikkerhedspanelet om brugen af TokenID til godkendelse og træffe de nødvendige foranstaltninger.