リモートホストにインストールされている Devolutions Server のバージョンは、2026.2.21.0 より前であるか、2026.3.10.0 を通じて2026.3.5.0されています。そのため、以下を含む複数の脆弱性による影響を受けます:

  - Devolutions Server の PAM AD コンピューターインポートエンドポイントに承認がないため、PAM ライセンスを持つ認証された非管理者ユーザーが、細工されたインポートリクエストを通じて、既存の AD プロバイダーの下に PAM サブプロバイダーを作成する可能性があります。(CVE-2026-114487)

  - Devolutions Server での Devolves Gateway トークン生成の誤った承認により、認証された非管理者の攻撃者が、仮想ゲートウェイのネットワークアクセスルールをバイパスし、ゲートウェイトークンに署名されたワイルドカードの追加デスティネーションを介して、拒否されたホストに到達する可能性があります。(CVE-2026-114486)

  - Devolutions Serverのユーザーリストエンドポイントの秘密情報の保護が不十分なため、委任されたユーザービュー権限を持つ認証された攻撃者が、ユーザーリストAPI応答を通じてすべてのユーザーのMFAシークレットを取得する可能性があります。(CVE-2026-114485)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Devolutions Server < 2026.2.21.0 / 2026.3.5.0 < 2026.3.11.0 の複数の脆弱性(DEVO-2026-0037)

medium Nessus プラグイン ID 373608

バージョン 1.1