CVE-2026-9863
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Fortra BoKS Manager zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w narzędziach do aktualizacji i łatania klientów dla starszych instalacji opartych na tar. Złośliwy lub skompromitowany klient zainstalowany za pomocą tar, wybrany do aktualizacji lub łatania, może spowodować wykonanie poleceń na serwerze BoKS Master podczas obsługi wersji klienta.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania dowolnych poleceń na serwerze głównym BoKS przez atakującego kontrolującego klienta, co może prowadzić do pełnego przejęcia kontroli nad systemem zarządzania tożsamością i dostępem.
Rekomendacja
Należy natychmiast zastosować aktualizację dostarczoną przez Fortra dla BoKS Manager oraz rozważyć migrację starszych klientów opartych na tar do nowszych, bezpieczniejszych metod instalacji.
Inne podatności w Fortra BoKS Manager
Zobacz wszystkie- CVE-2026-79898Krytyczne
Fortra BoKS Manager zawiera podatność na wstrzyknięcie poleceń w komponencie crlserver. Uwierzytelniony użytkownik uprawniony do dodawania adresów URL list CRL przez BCC, API WSI REST/SOAP lub interfejs wiersza poleceń cacrl może spowodować, że podstawienie poleceń powłoki zostanie przetworzone przez crlserver jako root na BoKS Master.
- CVE-2026-79896Wysokie
Fortra BoKS Manager zawiera podatność typu out-of-bounds read w niestandardowym parserze TLS ClientHello używanym przez boks_portmux. Zdalny nieuwierzytelniony atakujący może wysłać zniekształcony ClientHello i zakończyć działanie boks_portmux.
- CVE-2026-79899Wysokie
Fortra BoKS Manager zawiera podatność dotyczącą niebezpiecznych plików tymczasowych w narzędziu bccgethostcert. Narzędzie tworzy przewidywalne pliki tymczasowe bez ustawienia restrykcyjnego umask. Lokalny użytkownik na BoKS Master, mający dostęp do plików w BOKS_tmp, może uzyskać tajny klucz CA lub materiał klucza prywatnego hosta podczas działania narzędzia, lub uzyskać tajny materiał CA pozostawiony po pomyślnym utworzeniu certyfikatu.
Oryginalny opis (angielski, źródło NVD)
Fortra BoKS Manager contains an OS command injection vulnerability in the client upgrade and patch tooling for legacy tar-based client installations. A malicious or compromised legacy tar-installed client selected for upgrade or patching may be able to cause commands to be executed on the BoKS Master during client version handling.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS