Devolutions 服务器 < 2026.2.21.0 / 2026.3.5.0 < 2026.3.11.0 多种漏洞 （DEVO-2026-0037）
medium Nessus 插件 ID 373608
语言：
简介
远程主机上安装的 Devolutions 服务器实例受到多个漏洞的影响。描述
远程主机上安装的 Devolutions Server 版本低于 2026.2.21.0或现在2026.3.10.0是 2026.3.5.0 。因此，该应用程序受到多个漏洞的影响，其中包括：- Devolutions Server 中的 PAM AD 计算机导入端点缺少授权，允许具有 PAM 许可证的经身份验证的非管理用户通过构建的导入请求，在现有 AD 提供程序下创建 PAM 子提供程序。（CVE-2026-114487）
- 在 Devolutions Server 中生成 Devolutions 网关令牌时的错误授权允许经认证的非管理攻击者通过登录到网关标记的通配符额外目标绕过虚拟网关的网络访问规则并访问被拒绝的主机。（CVE-2026-114486）
- Devolutions Server 中用户列表端点的敏感信息保护不足，允许具有委派用户查看权限的经身份验证攻击者通过用户列表 API 响应获取所有用户的 MFA 机密。（CVE-2026-114485）
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级到 Devolutions Server 版本/2026.3.11.0或更高版本2026.2.21.0。另见
插件详情
严重性: Medium
ID: 373608
文件名: devolutions_server_DEVO-2026-0037.nasl
版本: 1.1
类型: Local
代理: windows
系列: Windows
发布时间: 2026/10/29
最近更新时间: 2026/10/29
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.3
百分位: 53.53
CVSS v2
风险因素: Medium
基本分数: 4
矢量: CVSS2#AV:N/AC:L/Au:S/C:N/I:P/A:N
CVSS 分数来源: CVE-2026-114487
CVSS v3
风险因素: Medium
基本分数: 4.3
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
CVSS v4
风险因素: Medium
Base Score: 5.3
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
漏洞信息
CPE: cpe:/a:devolutions:devolutions_server
必需的 KB 项: SMB/Registry/Enumerated, installed_sw/Devolutions Server
补丁发布日期: 2026/10/22
漏洞发布日期: 2026/10/22