Sicurezza & conformità

Una gestione impropria dello stato delle chiavi dei fattori nella funzionalità di gestione dell'autenticazione a più fattori in Devolutions Server consente a un utente malintenzionato a conoscenza della password di un utente di aggirare l'autenticazione a più fattori dell'utente dopo che quest'ultimo ha riconfigurato i propri fattori.

Un'autorizzazione impropria nella funzionalità di esplorazione di Active Directory in Devolutions Server consente a un utente autenticato con privilegi limitati di ottenere il materiale di autenticazione associato a un account di servizio del provider PAM memorizzato, tramite relay di autenticazione verso un server controllato dall'attaccante.

L'assenza di controlli di autorizzazione nella funzionalità di importazione delle casseforti in Devolutions Server consente a un utente autenticato con privilegi limitati di creare nuove casseforti tramite una richiesta di importazione appositamente creata.

L'assenza di controlli di autorizzazione nella funzionalità di gestione dello stato delle voci in Devolutions Server consente a un utente autenticato non amministratore di aggirare il flusso In attesa di approvazione imposto dall'amministratore e di ottenere l'accesso ai dati di una voce, tramite una richiesta di modifica dello stato appositamente creata.

Un controllo degli accessi improprio nella funzionalità di registro delle attività delle voci in Devolutions Server consente a un utente autenticato che dispone dell'accesso a una voce, ma non dell'autorizzazione necessaria, di recuperare i registri delle attività di tale voce tramite una richiesta API appositamente creata.

Un'applicazione impropria del flusso di lavoro per le voci sigillate nella funzionalità di recupero dei dati sensibili delle voci in Devolutions Server consente a un utente autenticato con accesso a una voce sigillata di recuperarne i dati sensibili senza attivare la notifica di audit relativa alla rimozione del sigillo, tramite una richiesta API appositamente creata.

L'assenza di controlli di autorizzazione nella funzionalità di aggiornamento del profilo utente in Devolutions Server consente a un utente Active Directory autenticato di modificare gli attributi del proprio profilo tramite una richiesta API appositamente creata.

Improper access control in the entry documentation and attachment features in Devolutions Server allows an authenticated user with vault read access to retrieve the documentation and attachments of sealed entries via a crafted API request.

Una modifica della password non verificata in Devolutions Server consente a un utente malintenzionato di modificare la password di un utente senza fornire quella precedente, tramite una richiesta di modifica della password appositamente creata.

Una convalida impropria degli input nel flusso del provider di autenticazione esterno in Devolutions Server consente a un attaccante remoto non autenticato di reindirizzare le vittime verso un dominio controllato dall'attaccante tramite un link di accesso appositamente creato.

Una registrazione insufficiente nella funzionalità di esportazione delle voci in Devolutions Server consente a un utente autenticato con autorizzazioni di esportazione di esportare una voce sigillata senza attivare la notifica di rimozione del sigillo agli amministratori, tramite una richiesta di esportazione appositamente creata.

Un bypass dell'autorizzazione nella funzionalità di duplicazione delle voci in Devolutions Server consente a un utente autenticato con accesso in scrittura a una qualsiasi cassaforte di copiare la documentazione e gli allegati di una voce contenuta in una cassaforte a cui non ha accesso, tramite una richiesta di salvataggio appositamente creata.