リモートホストにインストールされている Devolutions Server のバージョンは、 2025.3.15.0 またはそれ以前です。そのため、以下の複数の脆弱性の影響を受けます。

  - Devolutions Server 2025.3.15.0 およびそれ以前の Microsoft Entra IDAzure AD認証モードの認証バイパスにより、認証されていないユーザーが、偽装された JSON Web トークンJWTを介して任意の Entra ID ユーザーとして認証することができます。CVE-2026-3224

  - Devolutions Server 2025.3.15 およびそれ以前の PAM マルチアカウント削除における動作コントロールの不適切な強制により、削除権限を持つ認証された攻撃者が、少なくとも 1 つのチェックアウトされていないアカウントとともに選択することで、現在チェックアウトされている PAM アカウントを削除する可能性があります。一括削除の実行これにより、本来守られるべき保護がバイパスされ、ジャストインタイム (JIT) 権限取り消しが妨げられ、昇格された権限が持続する可能性があります。CVE-2026-3130

  - Devolutions Server 2025.3.15 およびそれ以前のエラーメッセージページにおける入力検証が不適切なために、リモートの攻撃者が特別に細工された URL を介して表示されたエラーメッセージを偽装する可能性があります。CVE-2026-3204

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Devolutions Server <= 2025.3.15.0 の複数の脆弱性 (DEVO-2026-0005)

critical Nessus プラグイン ID 301675

バージョン 1.3