Seguridad & cumplimiento normativo

La gestión incorrecta del estado de las claves de factor en la función de gestión de la autenticación multifactor en Devolutions Server permite a un atacante que conozca la contraseña de un usuario omitir la autenticación multifactor de dicho usuario después de que este reconfigure sus factores.

Una autorización inadecuada en la función de exploración de Active Directory de Devolutions Server permite a un usuario autenticado con privilegios bajos obtener material de autenticación asociado a una cuenta de servicio de un proveedor PAM almacenado mediante la retransmisión de la autenticación a un servidor controlado por el atacante.

La falta de autorización en la función de importación de bóvedas en Devolutions Server permite a un usuario autenticado con privilegios bajos crear nuevas bóvedas mediante una solicitud de importación manipulada.

La falta de autorización en la función de gestión del estado de las entradas en Devolutions Server permite a un usuario autenticado sin privilegios de administrador omitir el flujo «Pendiente de aprobación» impuesto por el administrador y acceder a los datos de una entrada mediante una solicitud de cambio de estado manipulada.

Un control de acceso inadecuado en la función de registro de actividad de las entradas de Devolutions Server permite a un usuario autenticado con acceso a una entrada, pero sin el permiso obligatorio, recuperar los registros de actividad de dicha entrada mediante una solicitud de API manipulada.

La aplicación incorrecta del flujo de trabajo de entradas selladas en la función de recuperación de datos sensibles de las entradas en Devolutions Server permite a un usuario autenticado con acceso a una entrada sellada recuperar sus datos sensibles sin activar la notificación de auditoría de desellado mediante una solicitud de API manipulada.

La falta de autorización en la función de actualización del perfil de usuario en Devolutions Server permite a un usuario autenticado de Active Directory modificar los atributos de su propio perfil mediante una solicitud de API manipulada.

Improper access control in the entry documentation and attachment features in Devolutions Server allows an authenticated user with vault read access to retrieve the documentation and attachments of sealed entries via a crafted API request.

El cambio de contraseña sin verificar en Devolutions Server permite a un atacante cambiar la contraseña de un usuario sin proporcionar la anterior mediante una solicitud de cambio de contraseña manipulada.

Una validación de entrada inadecuada en el flujo del proveedor de autenticación externo de Devolutions Server permite a un atacante remoto no autenticado redirigir a las víctimas a un dominio controlado por el atacante mediante un enlace de inicio de sesión manipulado.

El registro insuficiente en la función de exportación de entradas en Devolutions Server permite a un usuario autenticado con permisos de exportación exportar una entrada sellada sin activar la notificación de desellado a los administradores mediante una solicitud de exportación manipulada.

La omisión de autorización en la función de duplicación de entradas en Devolutions Server permite a un usuario autenticado con acceso de escritura a cualquier bóveda copiar la documentación y los adjuntos de una entrada ubicada en una bóveda a la que no tiene acceso mediante una solicitud de guardado manipulada.