CVE-2026-105488: отсутствие авторизации в Devolutions Server позволяет изменять глобальные записи
В Devolutions Server 2026.3.7.0 и более ранних версиях выявлена уязвимость отсутствия авторизации в глобальном хранилище (global vault). Пользователь с правами только на просмотр глобального хранилища может изменять и удалять глобальные контакты и папки. Проблема затрагивает конфиденциальность и целостность данных и требует приоритетного устранения.
Подробности
Уязвимость затрагивает Devolutions Server версии 2026.3.7.0 и более ранние. Причина — отсутствие авторизации (missing authorization) в глобальном хранилище (global vault). Пользователь, прошедший аутентификацию и обладающий лишь разрешением на просмотр глобального хранилища, получает возможность изменять и удалять глобальные записи контактов и папок, на которые у него не должно быть прав редактирования. Таким образом, речь идёт о нарушении контроля доступа: проверка прав выполняется недостаточно строго, и операция записи/удаления становится доступной пользователю с read-only-привилегиями. Это создаёт риски для целостности данных (несанкционированное изменение или удаление записей) и может использоваться для нарушения нормальной работы хранилища или подготовки более сложных атак. Сведения о значении CVSS в записи CVE не приведены. Характер уязвимости (CWE-862, Missing Authorization) и необходимость наличия аутентифицированной учётной записи указывают на то, что эксплуатация возможна изнутри — со стороны пользователя с легитимным, но ограниченным доступом. Это повышает значимость контроля над учётными записями и принципа наименьших привилегий. На момент публикации данных об активной эксплуатации уязвимости в записи CVE не приводится. Тем не менее, поскольку уязвимость позволяет изменять и удалять данные без соответствующих прав, её следует рассматривать как серьёзную для организаций, использующих затронутые версии.Что делать
Основная рекомендация — обновить Devolutions Server до версии, в которой уязвимость устранена. Если в вашей инфраструктуре используются версии 2026.3.7.0 или более ранние, необходимо проверить наличие исправленной сборки у вендора и выполнить обновление в приоритетном порядке. До установки обновления целесообразно применить компенсирующие меры: - пересмотреть права пользователей на глобальное хранилище и исключить назначение лишних разрешений; - ограничить круг учётных записей, имеющих доступ к глобальному хранилищу, только действительно необходимыми сотрудниками; - включить журналирование и мониторинг действий с глобальными контактами и папками, чтобы своевременно выявлять несанкционированные изменения или удаления; - проверить целостность глобальных записей и при необходимости восстановить их из резервных копий. Также рекомендуется провести аудит учётных записей и применяемых ролей, чтобы убедиться, что ни один пользователь не обладает избыточными правами. Итог: CVE-2026-105488 — это уязвимость недостаточной авторизации в Devolutions Server, позволяющая пользователю с правами только на просмотр глобального хранилища изменять и удалять контакты и папки. Ключевые шаги — обновление до исправленной версии, минимизация привилегий и усиленный мониторинг доступа к глобальному хранилищу.Источник: CVE Project (cvelistV5)