Sicherheit & Compliance
Höchste Standards zum Schutz Ihrer Daten und zur Gewährleistung von Vertrauen.
DEVO-2024-0002
Devolutions Server ist von mehreren Schwachstellen betroffen
Betroffene Produkte
Änderungsprotokoll
2024-03-05 - Erstveröffentlichung 2024-03-11 - Behobene Versionen aktualisiert
Fehlerhafte Berechtigungsverwaltung im JIT-Erhöhungsmodul
7.0 Hoch - CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N/U:Red
Fehlerhafte Berechtigungsverwaltung im Just-in-Time-Erhöhungsmodul (JIT) in Devolutions Server 2023.3.14.0 und früher ermöglicht es einem Benutzer, die erhöhten Berechtigungen unter bestimmten Umständen auch nach Ablauf weiterhin zu nutzen.
Weitere Informationen finden Sie in der folgenden Wissensdatenbank: https://redirection.devolutions.com/jit-group-revocation-error
CVE(s)
CVE-2024-1764
Behebung und Workarounds
Aktualisieren Sie auf Devolutions Server 2023.3.16.0 oder höher
Denial of Service bei PAM-Anmeldedaten
6.9 Mittel - CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H/U:Green
Denial of Service bei der PAM-Passwortrotation während des Check-in-Prozesses in Devolutions Server 2023.3.14.0 ermöglicht es einem authentifizierten Benutzer mit bestimmten PAM-Berechtigungen, PAM-Anmeldedaten unzugänglich zu machen.
CVE(s)
CVE-2024-1901
Behebung und Workarounds
Aktualisieren Sie auf Devolutions Server 2024.1.0 oder höher
Unzureichende Zugriffskontrolle in der Benachrichtigungsverwaltungsoberfläche
5.3 Mittel - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N/U:Green
Unzureichende Zugriffskontrolle in der Benachrichtigungsfunktion in Devolutions Server 2023.3.14.0 und früher ermöglicht es einem Benutzer mit niedrigen Rechten, von einem Administrator konfigurierte Benachrichtigungseinstellungen zu ändern.
CVE(s)
CVE-2024-1898
Behebung und Workarounds
Aktualisieren Sie auf Devolutions Server 2024.1.0 oder höher
Unzureichende Sitzungsverwaltung bei Identitätsanbietern (Okta, O365)
6.0 Mittel - CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/U:Amber
Unzureichende Sitzungsverwaltung im Identitätsanbieter-Authentifizierungsablauf in Devolutions Server 2023.3.14.0 und früher ermöglicht es einem über einen Identitätsanbieter authentifizierten Benutzer, nach der Deaktivierung oder Löschung seines Benutzers im Identitätsanbieter wie Okta oder Microsoft O365 authentifiziert zu bleiben.
Der Benutzer bleibt authentifiziert, bis das Devolutions-Server-Token abläuft.
CVE(s)
CVE-2024-1900
Behebung und Workarounds
Neuinstallationen von Devolutions Server 2024.1.0 sind nicht betroffen.
Für aktualisierte Devolutions Server 2024.1.0-Installationen beachten Sie die Warnung im Security Dashboard bezüglich der Verwendung von TokenID zur Authentifizierung.