Sicurezza & conformità
Manteniamo i più elevati standard per proteggere i suoi dati e garantire la fiducia.
DEVO-2026-0037
Devolutions Server è interessato da più vulnerabilità.
Prodotti interessati
Registro delle modifiche
Pubblicazione iniziale - 2026-10-22
Autorizzazione mancante sull'importazione di computer AD di PAM
5.3 Medium - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
L'autorizzazione mancante nell'endpoint di importazione di computer AD di PAM di Devolutions Server 2026.3.5.0 fino a 2026.3.10.0 e di Devolutions Server 2026.2.20.0 e precedenti consente a un utente autenticato non amministratore con una licenza PAM di creare sottoprovider PAM sotto provider AD esistenti tramite una richiesta di importazione appositamente creata.
CVE(s)
CVE-2026-114487
Correzione e soluzioni alternative
Aggiorni a Devolutions Server 2026.3.11.0 o versione successiva, Devolutions Server 2026.2.21.0 o versione successiva.
Un'autorizzazione errata delle destinazioni del token del gateway aggira le regole di accesso alla rete del gateway virtuale
4.3 Medium - CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Un'autorizzazione errata nella generazione dei token di Devolutions Gateway in Devolutions Server 2026.3.5.0 fino a 2026.3.10.0 e in Devolutions Server 2026.2.20.0 e precedenti consente a un utente malintenzionato autenticato non amministratore di aggirare le regole di accesso alla rete di un gateway virtuale e di raggiungere host rifiutati tramite destinazioni aggiuntive con caratteri jolly firmate nel token del gateway.
CVE(s)
CVE-2026-114486
Correzione e soluzioni alternative
Aggiorni a Devolutions Server 2026.3.11.0 o versione successiva, Devolutions Server 2026.2.21.0 o versione successiva.
Riconoscimenti
GSN_Ligma
Esposizione dei segreti MFA nell'endpoint dell'elenco degli utenti
2.1 Low - CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Una protezione insufficiente delle informazioni sensibili nell'endpoint dell'elenco degli utenti di Devolutions Server 2026.3.5.0 fino a 2026.3.10.0 e di Devolutions Server 2026.2.20.0 e precedenti consente a un utente malintenzionato autenticato con autorizzazioni delegate di visualizzazione degli utenti di ottenere i segreti MFA di tutti gli utenti tramite la risposta dell'API dell'elenco degli utenti.
CVE(s)
CVE-2026-114485
Correzione e soluzioni alternative
Aggiorni a Devolutions Server 2026.3.11.0 o versione successiva, Devolutions Server 2026.2.21.0 o versione successiva.