CVE-2025-12485
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
W Devolutions Server występuje niewłaściwe zarządzanie uprawnieniami podczas obsługi ciasteczek pre-MFA, co pozwala nisko uprzywilejowanemu uwierzytelnionemu użytkownikowi na podszycie się pod inne konto poprzez odtworzenie ciasteczka pre-MFA. Nie omija to jednak weryfikacji MFA docelowego konta. Problem dotyczy wersji 2025.3.2.0 do 2025.3.5.0 oraz 2025.2.15.0 i wcześniejszych.
Ocena ryzyka
Nisko uprzywilejowany użytkownik może podszyć się pod inne konto, co może prowadzić do nieautoryzowanego dostępu do zasobów i eskalacji uprawnień w ramach organizacji.
Rekomendacja
Zaktualizuj Devolutions Server do wersji nowszej niż 2025.3.5.0 lub 2025.2.15.0. Monitoruj nietypowe próby uwierzytelnienia i weryfikuj integralność ciasteczek sesyjnych.
Inne podatności w Devolutions Server
Zobacz wszystkie- CVE-2026-93330Średnie
W Devolutions Server 2026.3.5 nieprawidłowe egzekwowanie reguł w dostawcy PAM Active Directory pozwala użytkownikowi z uprawnieniami edycji PAM na obejście zestawu reguł hosta Devolutions Gateway.
- CVE-2026-100289Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API tokena skanowania sieci bramy pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wygenerowanie tokena skanowania sieci i przeprowadzenie wewnętrznego wykrywania sieci oraz skanowania portów przez bramę za pomocą spreparowanego żądania API.
- CVE-2026-100287Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API historii załączników pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na trwałe usunięcie lub przywrócenie załączników sejfu za pomocą spreparowanego żądania API.
- CVE-2026-100286Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API ustawień źródła danych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na ujawnienie sekretów integracji za pomocą spreparowanego żądania API.
- CVE-2026-114487Średnie
W Devolutions Server w wersjach 2026.3.5.0–2026.3.10.0 oraz 2026.2.20.0 i wcześniejszych brakuje kontroli autoryzacji w punkcie końcowym importu komputerów AD w module PAM. Uwierzytelniony użytkownik bez uprawnień administracyjnych, posiadający licencję PAM, może tworzyć poddostawców PAM w ramach istniejących dostawców AD za pomocą spreparowanego żądania importu.
- CVE-2026-114486Średnie
W Devolutions Server w wersji 2026.3.10.0 i wcześniejszych występuje nieprawidłowa autoryzacja przy generowaniu tokenów Devolutions Gateway. Uwierzytelniony atakujący bez uprawnień administracyjnych może ominąć reguły dostępu sieciowego wirtualnego gatewaya i dotrzeć do zabronionych hostów poprzez dodatkowe miejsca docelowe z symbolami wieloznacznymi podpisane w tokenie gatewaya.
- CVE-2026-114485Średnie
W Devolutions Server w wersji 2026.3.10.0 i wcześniejszych występuje niewystarczająca ochrona informacji wrażliwych w punkcie końcowym listy użytkowników. Uwierzytelniony atakujący z delegowanymi uprawnieniami do przeglądania użytkowników może uzyskać sekrety MFA wszystkich użytkowników poprzez odpowiedź API listy użytkowników.
- CVE-2026-110806Średnie
Nieprawidłowa autoryzacja we właściwościach dodatków (add-on properties) w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi posiadającemu jedynie uprawnienie View na uzyskanie haseł dodatków poprzez nieocenzurowane właściwości dodatków zwracane w danych połączenia.
- CVE-2026-110805Niskie
Podatność typu server-side request forgery w punkcie końcowym grup PingOne w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na eksfiltrację przechowywanego sekretu aplikacji PingOne poprzez kontrolowaną przez atakującego konfigurację PingOne w parametrze żądania.
- CVE-2026-110804Średnie
Nieprawidłowo kontrolowana modyfikacja ustawień podniesienia uprawnień JIT w PAM checkout w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z dostępem do PAM checkout na usunięcie dowolnych grup Active Directory lub zachowanie podniesionych uprawnień poprzez ustawienia JIT dostarczone przez klienta w żądaniu aktualizacji checkout.
Oryginalny opis (angielski, źródło NVD)
Improper privilege management during pre-MFA cookie handling in Devolutions Server allows a low-privileged authenticated user to impersonate another account by replaying the pre-MFA cookie.This does not bypass the target account MFA verification step. This issue affects the following versions : * Devolutions Server 2025.3.2.0 through 2025.3.5.0 * Devolutions Server 2025.2.15.0 and earlier
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS