Sikkerhed og overholdelse
Vi opretholder de højeste standarder for at beskytte dine data og sikre tillid.
DEVO-2026-0010
Devolutions Server er berørt af flere sårbarheder.
Berørte produkter
Ændringslog
Første offentliggørelse - 2026-04-01
CVE-2026-8407 (manglende autorisation på PAM-endpoints) er tilføjet - 2026-05-12
Brugerefterligning i det eksterne OAuth-godkendelsesforløb
8.7 Høj - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Forkert godkendelse i det eksterne OAuth-godkendelsesforløb i Devolutions Server gør det muligt for en godkendt bruger at autenticere sig som andre brugere, herunder administratorer, ved at genbruge en sessionskode fra et eksternt godkendelsesforløb.
CVE(s)
CVE-2026-4829
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.1.12.0 eller nyere, 2025.3.18 eller nyere.
Anerkendelser
jtof_fap
Omgåelse af den anden godkendelsesfaktor
7.7 Høj - CVSS:4.0/AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Forkert godkendelse i OAuth-logonfunktionen i Devolutions Server gør det muligt for en fjernangriber med gyldige legitimationsoplysninger at omgå multifaktorgodkendelsen via en manipuleret logonanmodning.
CVE(s)
CVE-2026-4828, CVE-2026-4924
Manglende autorisation på PAM-endpoints
7.1 Høj - CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N
Manglende autorisation i PAM-modulet i Devolutions Server gør det muligt for en godkendt bruger med en PAM-licens, men uden yderligere tilladelser, at hente hemmelige OTP-nøgler og gendannelseskoder via manipulerede anmodninger til PAM-API'ens endpoints.
CVE(s)
CVE-2026-8407
MFA-oplysninger returneret til brugeren
5.3 Mellem - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Eksponering af følsomme oplysninger i bruger-MFA-funktionen i Devolutions Server gør det muligt for brugere med brugeradministrationsprivilegier at hente andre brugeres OTP-nøgler via en godkendt API-anmodning.
CVE(s)
CVE-2026-4927
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.1.12 eller nyere.
Omgåelse af begrænsningen for selv at slette MFA
5.3 Mellem - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Forkert adgangskontrol i bruger-MFA-funktionen i Devolutions Server gør det muligt for en godkendt bruger at omgå de begrænsninger, som administratoren har indført, og slette sin egen konfiguration af multifaktorgodkendelse (MFA) via en manipuleret anmodning.
CVE(s)
CVE-2026-4925, CVE-2026-5175
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.1.12 eller nyere.
SSRF i stien til Gateway-sundhedstjek
5.3 Mellem - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N
Forkert inputvalidering i Gateway-sundhedstjekfunktionen i Devolutions Server gør det muligt for en godkendt bruger med lave privilegier at udføre forfalskning af anmodninger på serversiden (SSRF), hvilket kan medføre videregivelse af oplysninger, via en manipuleret API-anmodning.
CVE(s)
CVE-2026-4989
Afhjælpning og alternative løsninger
Anerkendelser
truff