Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en Core Privileged Access Manager de Fortra

Resumen de la alerta

Fortra ha publicado actualizaciones de seguridad para Core Privileged Access Manager (BoKS) que corrigen seis vulnerabilidades, clasificadas como tres críticas, dos altas y una media. Entre los problemas detallados se encuentran un desbordamiento de búfer, una inyección de comandos y una generación predecible de contraseñas para cuentas de servicio de Active Directory.

Una explotación satisfactoria podría afectar a la confidencialidad, integridad y disponibilidad de los sistemas, incluyendo daños en memoria, ejecución de comandos con privilegios de root, acceso a credenciales de cuentas de servicio de Active Directory, divulgación de información sensible o denegación de servicio.

Según la información publicada, las vulnerabilidades críticas identificadas como CVE-2026-12627, CVE-2026-79898 y CVE-2026-79901 no cuentan con explotación conocida.

Recursos afectados

El aviso afecta a las siguientes versiones de Fortra Core Privileged Access Manager (BoKS):

• Rama 8.1: desde la versión 8.1.0.0 hasta la 8.1.0.23.
• Rama 9.0: desde la versión 9.0.0.0 hasta la 9.0.0.6.

La vulnerabilidad CVE-2026-79901 se limita a los entornos que utilizan la gestión de archivos keytab de BoKS para administrar cuentas de servicio de Active Directory.

Descripción de las vulnerabilidades

Las vulnerabilidades críticas divulgadas por Fortra presentan condiciones de explotación y consecuencias potenciales diferentes:

• CVE-2026-12627: afecta al servicio boks_autoregisterd y consiste en un desbordamiento de búfer basado en pila. Un atacante remoto no autenticado que tenga acceso al servicio de registro automático podría enviar una respuesta manipulada para provocar daños en la memoria del proceso. Este tipo de fallo puede comprometer la confidencialidad, la integridad y la disponibilidad del sistema afectado.
• CVE-2026-79898: es una vulnerabilidad de inyección de comandos en el componente crlserver de BoKS Manager. Para explotarla, el atacante debe estar autenticado y contar con autorización para añadir direcciones URL de listas de revocación. En esas condiciones, podría introducir comandos que se ejecutarían con privilegios de root en el servidor BoKS Master.
• CVE-2026-79901: se debe al uso de un generador pseudoaleatorio predecible durante la creación de contraseñas para cuentas de servicio de Active Directory. Un atacante que conozca el identificador del servicio y pueda aproximar el momento del cambio de contraseña podría generar posibles credenciales y verificarlas sin conectarse al sistema vulnerable.

Además de estas tres vulnerabilidades críticas, Fortra ha informado de otras dos vulnerabilidades de severidad alta y una de severidad media. En conjunto, los fallos podrían facilitar acceso a información confidencial, denegación de servicio o la ejecución de acciones con privilegios elevados, según el caso.

Impacto y nivel de riesgo

La prioridad de respuesta es elevada por la presencia de tres vulnerabilidades críticas y por la naturaleza de los sistemas implicados: una plataforma de gestión de accesos privilegiados puede administrar componentes y cuentas con permisos relevantes dentro de la organización.

El impacto potencial depende de cada vulnerabilidad y de sus condiciones previas. CVE-2026-12627 podría ser alcanzable por un atacante remoto no autenticado que disponga de acceso al servicio de registro automático. En cambio, CVE-2026-79898 requiere una cuenta autenticada con permisos concretos para añadir URL de listas de revocación. CVE-2026-79901 afecta exclusivamente a instalaciones que gestionen archivos keytab para cuentas de servicio de Active Directory y exige conocer el identificador del servicio, además de poder estimar cuándo se modificó su contraseña.

No se ha indicado explotación conocida de CVE-2026-12627, CVE-2026-79898 o CVE-2026-79901. Esto no elimina el riesgo potencial, pero diferencia la existencia de las vulnerabilidades de la confirmación de ataques activos que las aprovechen.

Solución y medidas recomendadas

Fortra recomienda actualizar Core Privileged Access Manager (BoKS) a una versión corregida:

• 8.1.0.24 o posterior para la rama 8.1.
• 9.0.0.7 o posterior para la rama 9.0.

En los entornos que empleen la gestión de archivos keytab, se recomienda cambiar las contraseñas de las cuentas de servicio afectadas después de aplicar la actualización. También debe comprobarse que las nuevas claves se han distribuido correctamente.

Hasta que se complete la actualización, INCIBE-CERT recomienda restringir el acceso de red al servicio boks_autoregisterd, que utiliza el puerto 6507 de forma predeterminada.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias de Fortra Core Privileged Access Manager (BoKS) desplegadas y confirmar si utilizan versiones afectadas de las ramas 8.1 o 9.0.
2. Priorizar la actualización a las versiones corregidas indicadas por Fortra, especialmente en sistemas donde el servicio boks_autoregisterd sea accesible por red.
3. Restringir temporalmente el acceso de red a boks_autoregisterd en el puerto 6507 mientras se planifica y completa la actualización.
4. Revisar si la organización utiliza gestión de archivos keytab para cuentas de servicio de Active Directory. Si es así, cambiar las contraseñas de las cuentas afectadas tras actualizar y verificar la distribución de las nuevas claves.
5. Valorar las condiciones de acceso y autorización existentes en BoKS Manager, en particular los permisos para añadir URL de listas de revocación, dado que CVE-2026-79898 requiere un usuario autenticado y autorizado.