Múltiples vulnerabilidades en Core Privileged Access Manager de Fortra

Múl­ti­ples vul­ne­ra­bi­li­da­des en Core Pri­vi­le­ged Ac­cess Ma­na­ger de For­tra Vie, 02/10/2026 - 10:22 Aviso Re­cur­sos Afec­ta­dos Las si­guien­tes ver­sio­nes de For­tra Core Pri­vi­le­ged Ac­cess Ma­na­ger (BoKS): rama 8.1: ver­sio­nes 8.1.0.0 hasta 8.1.0.23; rama 9.0: ver­sio­nes 9.0.0.0 hasta 9.0.0.6. La vul­ne­ra­bi­li­dad CVE-2026-79901 afec­ta úni­ca­men­te a ins­ta­la­cio­nes que uti­li­zan la ges­tión de ar­chi­vos key­tab de BoKS para ad­mi­nis­trar cuen­tas de ser­vi­cio de Ac­ti­ve Di­rec­tory. Des­crip­ción For­tra ha pu­bli­ca­do 6 vul­ne­ra­bi­li­da­des: 3 de se­ve­ri­dad crí­ti­ca, 2 de se­ve­ri­dad alta y una de se­ve­ri­dad media que, en caso de ser ex­plo­ta­das, po­drían per­mi­tir pro­vo­car daños en la me­mo­ria, eje­cu­tar co­man­dos con pri­vi­le­gios de root , ob­te­ner cre­den­cia­les de cuen­tas de ser­vi­cio de Ac­ti­ve Di­rec­tory, ac­ce­der a in­for­ma­ción con­fi­den­cial o pro­vo­car una de­ne­ga­ción de ser­vi­cio (DoS). Iden­ti­fi­ca­dor INCIBE-2026-693 So­lu­ción Ac­tua­li­zar For­tra Core Pri­vi­le­ged Ac­cess Ma­na­ger (BoKS) a una de las si­guien­tes ver­sio­nes co­rre­gi­das: 8.1.0.24 o pos­te­rior; 9.0.0.7 o pos­te­rior. En las ins­ta­la­cio­nes que uti­li­cen la ges­tión de ar­chi­vos key­tab , se re­co­mien­da cam­biar las con­tra­se­ñas de las cuen­tas de ser­vi­cio afec­ta­das des­pués de ins­ta­lar la ac­tua­li­za­ción y com­pro­bar que las nue­vas cla­ves se han dis­tri­bui­do co­rrec­ta­men­te. Hasta com­ple­tar la ac­tua­li­za­ción, se re­co­mien­da res­trin­gir el ac­ce­so de red al ser­vi­cio boks_au­to­re­gis­terd , que uti­li­za el puer­to 6507 de forma pre­de­ter­mi­na­da. De­ta­lle CVE-2026-12627 : vul­ne­ra­bi­li­dad de des­bor­da­mien­to de búfer ba­sa­do en pila en el ser­vi­cio boks_au­to­re­gis­terd . Un ata­can­te re­mo­to no au­ten­ti­ca­do con ac­ce­so al ser­vi­cio de re­gis­tro au­to­má­ti­co po­dría en­viar una res­pues­ta es­pe­cial­men­te ma­ni­pu­la­da y pro­vo­car daños en la me­mo­ria del pro­ce­so, com­pro­me­tien­do la con­fi­den­cia­li­dad, in­te­gri­dad y dis­po­ni­bi­li­dad del sis­te­ma. CVE-2026-79898 : vul­ne­ra­bi­li­dad de in­yec­ción de co­man­dos en el com­po­nen­te crl­ser­ver de BoKS Ma­na­ger. Un usua­rio au­ten­ti­ca­do y au­to­ri­za­do para aña­dir di­rec­cio­nes URL de lis­tas de re­vo­ca­ción po­dría in­tro­du­cir co­man­dos que se­rían eje­cu­ta­dos con pri­vi­le­gios de root en el ser­vi­dor BoKS Mas­ter. CVE-2026-79901 : vul­ne­ra­bi­li­dad pro­vo­ca­da por el uso de un ge­ne­ra­dor pseu­do­alea­to­rio pre­de­ci­ble al crear las con­tra­se­ñas de cuen­tas de ser­vi­cio de Ac­ti­ve Di­rec­tory. Un ata­can­te que co­noz­ca el iden­ti­fi­ca­dor del ser­vi­cio y pueda apro­xi­mar el mo­men­to en el que se cam­bió la con­tra­se­ña po­dría ge­ne­rar po­si­bles con­tra­se­ñas y ve­ri­fi­car­las sin co­nec­tar­se al sis­te­ma afec­ta­do. 5 - Crí­ti­ca Lis­ta­do de re­fe­ren­cias FI-2026-017: Core Pri­vi­le­ged Ac­cess Ma­na­ger au­to­re­gis­tra­tion stack buf­fer over­flow vul­ne­ra­bi­lity FI-2026-015: BoKS Ma­na­ger crl­ser­ver com­mand in­jec­tion vul­ne­ra­bi­lity FI-2026-012: Pre­dic­ta­ble Ac­ti­ve Di­rec­tory ser­vi­ce-ac­count pass­words in BoKS Ma­na­ger Eti­que­tas Ac­tua­li­za­ción Cla­ves de ac­ce­so Des­bor­da­mien­to Di­vul­ga­ción de in­for­ma­ción + In­yec­ción Vul­ne­ra­bi­li­dad - CVE Iden­ti­fi­ca­dor CVE Se­ve­ri­dad Ex­plo­ta­ción Fa­bri­can­te CVE-2026-12627 Crí­ti­ca No FORTRA CVE-2026-79898 Crí­ti­ca No FORTRA CVE-2026-79901 Crí­ti­ca No FORTRA…