Sikkerhed og overholdelse
Vi opretholder de højeste standarder for at beskytte dine data og sikre tillid.
DEVO-2026-0005
Devolutions Server og Remote Desktop Manager er berørt af flere sårbarheder.
Berørte produkter
Ændringslog
Første offentliggørelse - 2026-03-03
»Forkert certifikatvalidering i WinRM-forbindelser« er tilføjet - 2026-03-19
Defekt godkendelse i Microsoft-godkendelsestilstanden i Devolutions Server
9.5 Kritisk - CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
En omgåelse af godkendelse i Microsoft Entra ID-godkendelsestilstanden (Azure AD) i Devolutions Server 2025.3.15.0 og tidligere versioner gør det muligt for en ikke-godkendt bruger at godkende sig som enhver Entra ID-bruger ved hjælp af et forfalsket JSON Web Token (JWT).
For at angrebet kan lykkes, skal offerets e-mailadresse være kendt.
CVE(s)
CVE-2026-3224
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2025.3.16 eller en nyere version
Hvis det ikke er muligt at opdatere, skal Microsoft-godkendelsestilstanden deaktiveres.
Anerkendelser
truff
Forkert håndhævelse af adfærdskontroller ved sletning af flere PAM-konti
5.1 Mellem - CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:L/VA:N/SC:H/SI:H/SA:N
Devolutions Server 2025.3.15 og tidligere versioner gør det muligt for en godkendt angriber med sletningstilladelse at slette en PAM-konto, der i øjeblikket er reserveret (checked out), ved at vælge den sammen med mindst én ikke-reserveret konto og udføre en massesletning. Det kan omgå de tilsigtede beskyttelser og forstyrre tilbagekaldelsen af Just-in-time-rettigheder (JIT), hvilket kan føre til vedvarende udvidede rettigheder.
CVE(s)
CVE-2026-3130
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2025.3.16 eller en nyere version, eller til 2026.1.6 eller en nyere version
Manipulerbare fejlmeddelelser
5.1 Mellem - CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Fejlmeddelelsessiden i Devolutions Server viste en meddelelse, der var angivet i URL'en. En ondsindet aktør kunne udnytte dette til at vise forfalskede fejlmeddelelser, for eksempel i phishingforsøg.
Siden er ændret, så den viser fejlmeddelelser baseret på fejlkoder.
CVE(s)
CVE-2026-3204
Afhjælpning og alternative løsninger
Opdater til DVLS 2026.1.6 eller en nyere version
Adgangskoder kan gemmes, når lagring af adgangskoder er deaktiveret
2.0 Lav - CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:A/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Adgangskoder til nogle forbindelsestyper kunne gemmes, selv om indstillingen »Deaktiver lagring af adgangskoder i boksene« var aktiveret i systemkonfigurationen.
De berørte forbindelsestyper er:
- AWS-panel
- AWS Identity and Access Management (IAM)
- Microsoft Azure Table Storage Explorer
- BeyondTrust-administratorsession
- Dell iDRAC
- Google Cloud Explorer
- HP iLO
- Logon med autofuldførelse (oprindeligt program)
- Proxmox-panel
- Salesforce Cloud
- Splashtop-panel
- TN3270
- IBM5250
- CyberArk-panel
- Amazon EC2
CVE(s)
CVE-2026-2590
Afhjælpning og alternative løsninger
Opdater til Remote Desktop Manager 2025.3.32 eller en nyere version, eller til 2026.1.6 eller en nyere version
Forkert certifikatvalidering i WinRM-forbindelser
6.2 Mellem - CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N
Forkert certifikatvalidering i WinRM-forbindelser til PAM-propagation gør det muligt for en angriber på netværket at udføre et man-in-the-middle-angreb, fordi TLS-certifikatverifikationen er deaktiveret.
CVE(s)
CVE-2026-4434
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.1.6 eller en nyere version