Sikkerhed og overholdelse
Vi opretholder de højeste standarder for at beskytte dine data og sikre tillid.
DEVO-2026-0024
Devolutions Server er berørt af flere sårbarheder.
Berørte produkter
Ændringslog
Første offentliggørelse - 2026-07-14
Forkert autorisation i endpoints til hentning af SSH-nøgler og PAM-certifikater
7.3 Høj - CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H
En forkert autorisation i endpoints til hentning af SSH-nøgler og PAM-certifikater i Devolutions Server 2026.2.11, 2026.1.22 gør det muligt for en godkendt bruger med lave privilegier at afsløre den private nøgle for en PAM-legitimationsoplysning af typen SSH-nøgle eller certifikat via en direkte objektreference til legitimationsoplysningens identifikator.
CVE(s)
CVE-2026-15637
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.1.23.0, 2026.2.12.0 eller nyere
En forkert autorisation i endpointet for status på adgangsanmodninger muliggør selvgodkendelse
7.1 Høj - CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
En forkert autorisation i endpointet for status på adgangsanmodninger i Devolutions Server 2026.2.11, 2026.1.22 gør det muligt for en godkendt bruger med lave privilegier at godkende sin egen ventende adgangsanmodning via et direkte kald til endpointet for anmodningens status og dermed springe den obligatoriske gennemgang hos godkenderen over.
CVE(s)
CVE-2026-15641
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.1.23.0, 2026.2.12.0 eller nyere
Anerkendelser
dorjoo
Indsættelse af Azure Key Vault-klienthemmeligheden i Recovery Kit-svarfilen
2.0 Lav - CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Indsættelse af følsomme oplysninger i en fil i funktionen til generering af Recovery Kit-svarfilen i Devolutions Server 2026.1.22.0, 2026.2.11.0 gør det muligt for en angriber med adgang til den genererede svarfil at få Azure Key Vault-klienthemmeligheden i klartekst, selv når muligheden for at udelade følsomme data er valgt.
CVE(s)
CVE-2026-15642
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.1.23.0, 2026.2.12.0 eller nyere
Forkert autorisation (IDOR) i endpointet til sletning af sikre meddelelser
3.1 Lav - CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N
En forkert autorisation i endpointet til sletning af sikre meddelelser i Devolutions Server 2026.2.11, 2026.1.22 gør det muligt for en godkendt bruger at slette en anden brugers meddelelser via en direkte objektreference til meddelelsens identifikator.
CVE(s)
CVE-2026-15058
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.2.12, 2026.1.23 eller nyere
Anerkendelser
rizalyeswehack