JULY 2026
WSA-2026-07-0002 Unauthenticated Authentication Bypass in the SAML Service Provider – Access Manager
2026-07-20- Unauthenticated Authentication Bypass in the SAML Service Provider – Access Manager
Release Date: 20 Jul 2026
Last Updated: 20 Jul 2026
Identifiers: WSA-2026-07-0002
Severity: HIGH- CVSS 4.0 Base 8.7 – CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:L/SI:L/SA:N
1. Executive Summary
⚠️ This vulnerability affects any Access Manager with a SAML federation configured. Depending on the identity provider configuration, it may require no authentication and no user interaction.
A high-severity vulnerability has been identified in the SAML Service Provider of the WALLIX Access Manager portal. A remote attacker with network access to the portal can obtain an authenticated administrator session without valid credentials.
Because the Access Manager brokers access to a fleet of Bastions, an administrator session can reach the targets and privileged credentials the portal is configured to broker – i.e. the capabilities of a malicious Access Manager administrator. It does not grant administration of the Bastions themselves. We strongly urge affected customers to upgrade promptly and to review affected portals for signs of misuse. A security patch is available.
? Coordinated public disclosure – act before September.
The independent security researchers who reported these vulnerabilities intend to publish full technical details in September 2026 Once released, information useful to attackers will be in the public domain. Apply the fixes as soon as they are available and well ahead of the September disclosure.
Do not wait.
2. Affected Products & Scope
| Product | Impacted Versions | Status |
| WALLIX Access Manager | All versions with a SAML federation configured | Vulnerable |
| WALLIX Access Manager | Instances with no SAML federation configured | Not affected (via this vector) |
| WALLIX Access Manager | 5.1.10, 5.2.7, 6.0.4 and higher | Patched |
? The defect is present in every reviewed version and no remediation commit exists as of 5.1.9, 5.2.6 or 6.0.3.
? Risk Assessment
Exploitation requires network access to the portal’s SAML Assertion Consumer Service (ACS), exposed by default on 443. The attack surface is enabled as soon as at least one SAML federation domain exists on the portal — a common, documented enterprise deployment.
Depending on your identity provider configuration, exploitation may require no authentication at all, or the ability to observe one legitimate SSO login. In either case the result is a privileged, unauthenticated authentication bypass.
Hardened SAML settings do not mitigate this. Signature verification and IdP certificate pinning are performed and behave correctly; the vulnerability lies elsewhere in the validation flow.
3. Vulnerability Details
Type: CWE-347 (Improper Verification of Cryptographic Signature) ; CWE-290 (Authentication Bypass by Spoofing).
Description: A flaw in the portal’s SAML response validation allows a remote attacker to have a forged SAML response accepted as valid and to be logged in under an attacker-chosen identity and privilege level, including the highest-privileged profile
Technical exploitation details, indicators of compromise, and detection guidance are provided to customers in a dedicated, access-controlled Knowledge Base article ( WSA-2026-07-0002 – Unauthenticated Authentication Bypass in the SAML Service Provider – Access Manager), available through the support portal. They are intentionally withheld from this public advisory to protect customers until patch adoption is sufficiently widespread.
4. Detection
Unlike a silent credential bypass, this attack leaves traces in the portal application logs and in the front-end access logs. Log review is therefore meaningful.
Precise indicators of compromise and log-review guidance are provided to customers in WSA-2026-07-0002 via the support portal.
5. Resolution & Action Plan
✅ Recommended Action: Apply the Security Patch
Upgrade to WALLIX Access Manager 5.1.10, 5.2.7, 6.0.4 or higher. This is the only complete remediation.
The WALLIX ONE REMOTE ACCESS SaaS environments are already up to date.
The WALLIX ONE PAM SaaS environments are currently being updated by WALLIX, in coordination with our customers
After patching, and given that a session obtained through this flaw carries full administrative rights, we strongly recommend:
- Audit accounts and configurationfor unexpected administrators (federated or local) and unauthorized changes.
- Rotate Access Manager administrator and API credentials.
- Because the portal fronts the managed Bastions, review privileged access and, where warranted, rotate secretson Bastions reachable from a compromised portal.
- Remove any unrecognized JIT-provisioned federated users and invalidate their sessions.
⚠️ Interim Mitigations (until patching)
The SAML surface can be partially fenced:
- Reduce exposure:disable or remove SAML federation domains that are not in active use; limit which organizations expose a SAML login.
- Reduce exposure: Remove or rename profile of type Administrator on organizations which need SAML
These reduce risk but do not fully close the flaw. Upgrading remains the priority.
Credits
This vulnerability was discovered and responsibly reported by Fabien J. (SNS-Security). We thank SNS-Security for their coordinated disclosure.
Contact & Support
For assistance with the mitigation steps, please contact our support by opening a ticket on the support portal.
JULY 2026
WSA-2026-07-0001 Unauthenticated Privilege Escalation in REST API – WALLIX Bastion
2026-07-20 – Unauthenticated Privilege Escalation in REST API – Bastion
[SECURITY ADVISORY] Unauthenticated Privilege Escalation in REST API – WALLIX Bastion
Release Date: 20 Jul 2026
Last Updated: 20 Jul 2026
Identifiers: WSA-2026-07-0001
Severity: CRITICAL – CVSS 4.0 Base 10.0 – CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
1. Executive Summary
This vulnerability affects any operational Bastion 12.3 and 12.4.0 in any configuration.
It requires no authentication, no user interaction, and no special settings.
A critical vulnerability has been identified in the WALLIX Bastion REST API. A remote, unauthenticated attacker with network access to the API endpoint can obtain full administrative privileges on the appliance.
Successful exploitation grants complete control over the Bastion, including its configuration, its vault of privileged credentials, and its session recordings. We strongly urge all affected customers to upgrade without delay and to treat affected appliances as potentially compromised. A security patch is available.
? Coordinated public disclosure – act before September.
The independent security researchers who reported these vulnerabilities intend to publish full technical details in September 2026 Once released, information useful to attackers will be in the public domain. Apply the fixes as soon as they are available and well ahead of the September disclosure.
Do not wait.
2. Affected Products & Scope
| Product | Impacted Versions | Status |
| WALLIX Bastion | All versions 12.0.x | Not affected |
| WALLIX Bastion | All versions prior to 12.3.0 | Not affected |
| WALLIX Bastion | All versions from 12.3.0 to 12.3.6 | Vulnerable |
| WALLIX Bastion | Version 12.4.0 | Vulnerable |
| WALLIX Bastion | Version 12.3.7 Version 12.4.1 and higher |
Patched |
The affected code path was introduced in the 12.3 branch. Versions below 12.3 are not affected.
? Risk Assessment
Exploitation requires only network access to the REST API endpoint (typically exposed on HTTPS / 443) on an operational appliance. No credentials, valid session, or user interaction are needed. Any Bastion actively in service should be considered exposed.
3. Vulnerability Details
Type: CWE-290 (Authentication Bypass by Spoofing) / CWE-287 (Improper Authentication).
Description: Under certain conditions the REST API authentication layer can be induced to grant a privileged administrative session without valid credentials.
Access: Remote, network access to the API endpoint. No authentication required.
Technical exploitation details are intentionally withheld to protect customers until patch adoption is sufficiently widespread.
4. Detection & Indicators of Compromise
State-changing actions are logged. Operations that modify state (creating/editing users, changing configuration) are recorded in /var/log/wabaudit.log. Entries follow this format:
wabengine: [wabaudit] action= » » type= »
- client_ip= »127.0.0.1″ on any state-changing action (action= »add », « edit », « delete ») — especially type= »User » creating a product_administrator. This actor/IP pair for administrative changes is the strongest indicator of exploitation.
- Creation of administrator accounts you did not provision, or configuration/authorization changes with no matching interactive administrator login.
Review scope: examine /var/log/wabaudit.log (and rotated archives) — and, for credential-checkout activity, /var/log/vault-activity.log — across the entire window during which an affected version was network-reachable. Log review can confirm compromise but can never rule it out.Exploitation can be entirely invisible.Control Release of first version affected is 10 Feb 2026 , if you don´t have a logs retention (either on Bastion or in SIEM) before this date or installation of vulnerable version, you will not be able to assert if a exploitation was made.Absence of evidence must not be interpreted as absence of compromise. Treat any affected, network-reachable appliance as potentially fully compromised, including all vault secrets.
5. Resolution & Action Plan
Recommended Action: Apply the Security Patch
Upgrade to WALLIX Bastion 12.4.1 or higher. This is the only effective remediation.The WOPAM SaaS environments are currently being updated by WALLIX, in coordination with our customers.Because exploitation may leave no trace (see §4), after patching we strongly recommend, if you can not assert that no exploitation was made:
- Rotate all secrets held in the vault(target account passwords, SSH keys, API keys). Assume every secret the appliance stored may have been read.
- Rotate Bastion administrator and API credentials.
- Audit accounts and configurationfor unexpected administrators or unauthorized changes, using the indicators in §4.
Credits
This vulnerability was discovered and responsibly reported by Fabien J. (SNS-Security). We thank SNS-Security for their coordinated disclosure.
Contact & Support
For assistance with the mitigation steps, please contact our support by opening a ticket on the support portal.
MARS 2026
AVERTISSEMENT DE SÉCURITÉ] Divulgation d’informations sensibles dans les journaux — Gestionnaire d’accès produitDate de publication : 16 mars 2026 Dernière mise à jour : 16 mars 2026 Gravité : HAUT Identifiants : WSA-2026-02-0001
- Résumé exécutif
Note : La plupart des utilisateurs ne sont pas affectés par cette vulnérabilité, car elle nécessite une configuration spécifique et non par défaut pour être activée.Une vulnérabilité de sécurité a été identifiée dans Access Manager concernant la gestion des identifiants dans les journaux système. Dans des conditions de débogage spécifiques et lorsqu’une fonctionnalité spécifique est activée, des mots de passe en clair peuvent être écrits dans des fichiers journaux locaux. Nous avons publié un correctif de sécurité et fournissons ci-dessous des mesures d’atténuation immédiates.
- Produits et portée
| Produit | Versions affectées | Statut |
| Gestionnaire d’accès | Toutes les versions 5.2 jusqu’à la v5.2.3Toutes les versions 5.1 jusqu’à la v5.1.6 | Vulnérable |
| Gestionnaire d’accès | Toutes les versions 5.2 de la v5.2.4Toutes les versions 5.1 depuis la v5.1.7 | Écussons |
? Évaluation des risquesCette vulnérabilité ne s’activera que si LES DEUX conditions suivantes sont remplies :
- Niveau de journal « Par défaut » ou « API REST WALLIX Bastion » Le niveau de journal est défini sur DEBUG, TRACE ou ALL (par défaut est « Par défaut ») dans le Gestionnaire d’accès
- Les utilisateurs sont autorisés à effectuer des vérifications de mots de passe depuis le Gestionnaire d’accès.
- Détails des vulnérabilités
- Type : CWE-532 (insertion d’informations sensibles dans un fichier journal)
- Description : Lorsque le système est réglé au niveau du journal DEBUG, l’API REST Wallix Bastion du module ne masque pas la chaîne de mot de passe.
- Accès : Un accès local aux fichiers journaux est nécessaire pour exploiter cette vulnérabilité.
- Résolution et plan d’action
✅ Action recommandée : Appliquer le correctif de sécurité
- Nous recommandons de passer au Gestionnaire d’accès v5.1.7 ou v5.2.4 (ou une version supérieure), ce qui introduit un masquage obligatoire des chaînes sensibles, peu importe le niveau de log.
- À titre de précaution, nous recommandons fortement de faire tourner tout mot de passe utilisé ou traité pendant que le système était dans la configuration vulnérable (voir Évaluation des risques).
⚠️ Solution immédiate (si la mise à jour n’est pas possible)Si vous ne pouvez pas mettre à jour immédiatement, vous pouvez réduire le risque en procédant à l’une des étapes suivantes :
- Désactiver la journalisation du débogage : Assurez-vous que le niveau du journal n’est pas réglé sur DEBUG, TRACE ou ALL.
- Supprimer les journaux : Supprimer les fichiers journaux de débogage existants contenant des données historiques.
Contact et supportSi vous avez des questions ou avez besoin d’aide pour les mesures d’atténuation, veuillez contacter notre support en ouvrant un billet sur le portail de support.
JUILLET 2025
CVE WSA-2025-07-001 Fuite d’informations d’identification de cibles Web
Titre : CVE WSA-2025-07-001 Fuite d’informations d’identification de la cible Web Date d’entrée en vigueur : Juillet 2025 Résumé Une vulnérabilité de haute sévérité (CVSS Base Score 7.7) a été découverte dans WALLIX Web Session Manager 4.0.7 (actuellement en version contrôlée).Détails de la vulnérabilité– Produit : WALLIX Web Session Manager– Version affectée : 4.0.7– Fonctionnalité : Sessions web avec injection automatique d’informations d’identification– Détails de la vulnérabilité : Lorsqu’un utilisateur accède à une application web à l’aide du processus d’injection d’informations d’identification, les informations d’identification de l’application peuvent être exposées dans le navigateur et peuvent être récupérées à l’aide des outils de développement du navigateur.– Impact : Des informations d’identification sensibles peuvent fuir et être utilisées pour obtenir un accès non contrôlé aux cibles.- Gravité :◦ CVSS Basic : 7.7 (/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N)◦ CVSS Environmental : 9.4 (/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N/E:H/RL:O/RC:C/CR:H)CorrectifsLe correctif WALLIX Web Session Manager version 4.0.9 sera disponible début août 2025.Comment vérifier si j’utilise cette fonction ?1 Vérifiez que vous avez installé un WALLIX Web Session Manager 4.0.7 => Connectez-vous en tant qu’administrateur à la solution : le numéro de version est affiché sur la page d’accueil.2 Vérifiez que vous avez configuré les cibles de l’application web :1 Création d’une application web cible => veuillez vous référer au guide d’administration fonctionnelle de WALLIX Bastion 12.2 « 10.4. Ajouter une application web » section2 Création du compte de l’application web => veuillez vous référer au guide d’administration fonctionnelle de WALLIX Bastion 12.2 « 12.1 Ajouter des comptes cibles » section3 Compte de l’application web dans un groupe cible => veuillez vous référer au guide d’administration fonctionnelle de WALLIX Bastion 12.2 « 12.2 Ajouter des groupes cibles » section4 Politique de connexion web avec le credential d’injection comme méthode d’authentification => veuillez vous référer au guide d’administration fonctionnelle de WALLIX Bastion 12.2 « 11.3.1. Politique de connexion des applications web » sectionAtténuationWALLIX recommande de désactiver l’injection de flux d’identifiants avec les sessions web et de s’appuyer sur une authentification manuelle (login interactif).
MARS 2025
CVE XXX WSA-202503-1 AD Discovery : les informations d’identification du compte de service configuré dans l’authentification externe utilisée pour extraire des données d’AD et les données extraites sont envoyées en clair.
CVE XXX WSA-202503-1 AD Discovery : les informations d’identification du compte de service configuré dans l’authentification externe utilisée pour extraire des données d’AD et les données extraites sont envoyées en clair.Une vulnérabilité importante a été découverte (évaluée : CVSS 8.9).Produits concernés– De la version 10.0.0 à la version 10.0.10, WALLIX Bastion incluait– De la version 12.0.0 à la version 12.0.8, WALLIX Bastion incluait– Toutes les versions ne bénéficiant pas d’un support technique sont potentiellement concernéesRésumé– Produit : WALLIX Bastion – Module de découverte– Fonctionnalité : Découverte des actifs à l’aide d’une connexion cryptée authentifiée par GSS-API/STARTTLS à un Active Directory.– Détails de la vulnérabilité : WALLIX Bastion envoie des informations lors d’un scan, sur les appareils et leurs comptes avec un Active Directory en utilisant GSS-API ou STARTTLS. Les autres fonctionnalités reposant sur l’intégration d’Active Directory ne sont pas affectées.– Impact : Les informations d’identification du compte de service peuvent fuir et les données sensibles extraites de l’Active Directory configuré ne sont pas chiffrées.– Logiciel fixe
– WALLIX Bastion 12.0.9 disponible 2025/03/26
– WALLIX Bastion 10 patch disponible 2025/03/28
Le bulletin de sécurité WALLIX suivant fournit des informations sur la vulnérabilité, des recommandations et des solutions de contournement : WSA-202503-1 https://support.wallix.com/hc/en-us/articles/25925255587613-WSA-202503-1CVE XXX WSA-202503-2 WIN RMDécouverte AD : Découverte AD : les informations d’identification du compte de service configuré lors d’une analyse et utilisé pour récupérer les données de l’AD et les données récupérées sont envoyées en clair.Une vulnérabilité importante a été découverte (évaluée : CVSS 8.9).Produits concernés– De la version 10.0.0 à la version 10.0.10, WALLIX Bastion incluait- De la version 12.0.0 à la version 12.0.8, WALLIX Bastion incluait- Toutes les versions ne bénéficiant pas d’un support technique sont potentiellement concernéesRésumé– Produit : WALLIX Bastion – Module de découverte– Fonctionnalité : Découverte des actifs avec activation de la découverte des comptes– Détails de la vulnérabilité : WALLIX Bastion envoie des informations lors d’un scan, sur les appareils et leurs comptes avec un Active Directory. Les autres fonctionnalités reposant sur l’intégration d’Active Directory ne sont pas affectées.– Impact : Les informations d’identification du compte de service peuvent fuir.– Logiciel fixe
– WALLIX Bastion 12.0.9 disponible 2025/03/26
– WALLIX Bastion 10 patch disponible 2025/03/28
Le bulletin de sécurité WALLIX suivant fournit des informations sur la vulnérabilité, des recommandations et des solutions de contournement :WSA-202503-2 https://support.wallix.com/hc/en-us/articles/25925620269213-WSA-202503-2Fonctionnement et annonces publiquesWALLIX n’a pas connaissance d’annonces publiques ou d’utilisations malveillantes de la vulnérabilité décrite dans cet avis. Cependant, il est recommandé de rechercher toute activité anormale sur WALLIX Bastion et les Active Directories associés.Pour toute question ou information complémentaire, veuillez contacter l’équipe d’assistance à l’adresse https://support.wallix.com.
NOVEMBRE 2024
CVE-2024-XXXXX – Contournement du compte utilisateur désactivé/expiré
Une vulnérabilité CRITIQUE (notée 9.1 : CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L) a été découverte dans WALLIX Bastion et WALLIX Access Manager.Un numéro CVE a été demandé, et nous attendons actuellement son attribution.
Résumé
|
Produit
|
Fonctionnalité
|
Détails de la vulnérabilité
|
Impact
|
Comment vérifier si j’utilise cette fonction ?
|
|
WALLIX Bastion
|
Authentification de l’utilisateur à l’aide d’une clé SSH stockée dans LDAP ou Active Directory
|
WALLIX Bastion ne vérifie pas les drapeaux Expiré ou Désactivé.
|
L’utilisateur peut s’authentifier sur le Bastion WALLIX et accéder à ses cibles SSH.
|
Dans Configuration > Domaines d’authentification > Active Directory ou LDAP, l’attribut de la clé publique SSH est défini.
|
|
WALLIX Bastion
|
Authentification de l’utilisateur à l’aide d’un certificat X.509 stocké dans LDAP ou Active Directory
|
WALLIX Bastion ne vérifie pas les drapeaux Expiré ou Désactivé.
|
L’utilisateur peut s’authentifier sur l’interface graphique de WALLIX Bastion et accéder à ses cibles.
|
Les deux conditions ci-dessous sont remplies :
|
|
Gestionnaire d’accès WALLIX
|
Authentification de l’utilisateur à l’aide d’un certificat X.509 stocké dans Active Directory
|
WALLIX Access Manager ne vérifie pas les drapeaux expirés.
|
L’utilisateur peut être en mesure de s’authentifier sur l’interface graphique du gestionnaire d’accès WALLIX et d’accéder à ses cibles.
|
Dans l’organisation globale, Configuration > Domaines > Sélectionner un domaine LDAP, Autoriser X509 Cert. Authentification est vérifié
|
Note : WALLIX Access Manager ne supporte pas l’authentification des utilisateurs avec un certificat X.509 stocké dans LDAP.
Note : WALLIX Access Manager ne permet pas l’authentification des utilisateurs avec une clé SSH.
Remarque : Les informations d’identification de l’utilisateur (clé privée SSH ou clé privée X.509 associée au certificat) doivent être valides.
WALLIX recommande d’appliquer immédiatement les correctifs publiés ou, avant qu’ils ne soient appliqués, les solutions de contournement décrites ci-dessous.
Produits concernés
Bastion :
-
Toutes les versions de WALLIX Bastion 12.0 jusqu’à 12.0.3 incluses
-
Tous les WALLIX Bastion 11.0
-
Tous les WALLIX Bastion 10.1, 10.2, 10.3, 10.4
-
Tous les WALLIX Bastion 10.0 jusqu’à 10.0.9 inclus
-
Tous les WALLIX Bastion 9.0, 9.1
-
Tous les WALLIX Bastion précédents peuvent être affectés.
Gestionnaire d’accès :
-
WALLIX Access Manager 5.1.0
-
Toutes les versions de WALLIX Access Manager 5.0
-
Toutes les versions de WALLIX Access Manager 4.4
-
Toutes les versions de WALLIX Access Manager 4.0 jusqu’à 4.0.7 incluses
-
Toutes les versions précédentes de WALLIX Access Manager peuvent être affectées.
Indicateur de compromis
Vérifiez le journal d’authentification sur WALLIX Bastion et WALLIX Access Manager pour vous assurer qu’aucun compte désactivé ou expiré n’a été utilisé.
Solutions de rechange
Compte expiré et désactivé :
Pour WALLIX Bastion et WALLIX Access Manager, supprimez la clé SSH ou le hachage du certificat stocké dans le compte utilisateur Active Directory ou LDAP.
Le certificat X.509 peut également être révoqué si les CRL sont correctement configurées dans WALLIX Bastion et WALLIX Access Manager.
Compte désactivé uniquement :
Si vous ne pouvez pas supprimer les clés SSH ou le certificat X.509 dans Active Directory :
-
WALLIX Bastion, allez dans Configuration > Options de configuration > Global > (Options avancées) > Attributs Ldap et ajoutez :
-
« userAccountControl » pour Active Directory
-
« krbPasswordExpiration » pour FreeIPA.
-
-
WALLIX Access Manager n’est pas concerné par cette vulnérabilité.
Logiciel fixe
-
WALLIX Bastion 12.0.4, disponible dès maintenant https://updates.wallix.com/bastion/bastion-12.0.4.iso
-
WALLIX Access Manager 5.1.1, disponible dès maintenant https://updates.wallix.com/accessmanager/accessmanager-5.1.1.1.iso
-
WALLIX Bastion 10.0.10, disponible le 22 novembre
-
WALLIX Access Manager 4.0.8, disponible le 22 novembre
Exploitation et annonces publiques
WALLIX n’a pas connaissance d’annonces publiques ou d’utilisations malveillantes de la vulnérabilité décrite dans cet avis.
Toutefois, il est recommandé de rechercher toute activité anormale sur les bastions WALLIX.
DÉCEMBRE 2023
Divulgation potentielle d’informations sensibles CVE-2023-49961
RÉSUMÉUne vulnérabilité a été découverte dans les produits WALLIX qui pourrait permettre à un attaquant d’accéder à des informations sensibles. L’attaquant pourrait utiliser cette vulnérabilité pour obtenir des accès illégitimes.WALLIX recommande d’appliquer immédiatement les correctifs publiés, ou avant qu’ils ne soient appliqués, la solution de contournement décrite ci-dessous.Produits concernésToutes les versions supportées de WALLIX Bastion et Access Manager en tant qu’appliance.Solutions de rechangeL’article suivant de notre base de connaissances vous fournit la procédure d’atténuation.
- Access Manager As Appliance : https://wallix.lightning.force.com/lightning/r/Knowledge__kav/ka0Sb00000007O5IAI/view
- Bastion : https://wallix.lightning.force.com/lightning/r/Knowledge__kav/ka0Sb00000005irIAA/view
Logiciel fixeLes versions hotfixes et les correctifs sont disponibles sur notre portail de téléchargement :
-
Bastion 9.0.9 : https://cloud.wallix.com/index.php/s/DBkJWdtsPjW7BSn (SHA256 : dc5e3fda310a94cd54835800718cc1ec02084a126f79c82dde465eff40d698a4 )
-
Bastion 10.0.5 : https://cloud.wallix.com/index.php/s/PYjdncJSTaEBRSg (SHA256 : 65cdc9b49dfa2160a4a8489fd1c61cad1a48444dbb86cb4a9ac0f4ff527d1197 )
Exploitation et annonces publiquesWALLIX n’a pas connaissance d’annonces publiques ou d’utilisations malveillantes de la vulnérabilité décrite dans cet avis.Cependant, il est recommandé de rechercher toute activité anormale sur les Bastions WALLIX et WALLIX Access Manager. Il est également recommandé de s’assurer que les pare-feu des Bastions et du Gestionnaire d’accès sont activés.
FÉVRIER 2023
Élévation des privilèges d’Access Manager CVE-2023-23592
Février 2023Élévation des privilèges du gestionnaire d’accès CVE-2023-23592RÉSUMÉUne vulnérabilité a été découverte dans le produit WALLIX Access Manager qui peut permettre à un attaquant d’accéder à des informations sensibles. L’attaquant pourrait utiliser cette vulnérabilité pour obtenir les accès illégitimes. WALLIX recommande d’appliquer immédiatement les correctifs publiés, ou avant qu’ils ne soient appliqués, la solution de contournement décrite ci-dessous.Produits concernésToutes les versions de WALLIX Access Manager.Solutions de rechangeL’article suivant de notre base de connaissances vous fournit la procédure de contournement.https://support.wallix.com/s/article/How-can-I-mitigate-CVE-2023-23592Logiciel fixeLes versions hotfixes sont disponibles sur notre portail de téléchargement :– Version 3.0.16– Version 4.0.3Exploitation et annonces publiquesWALLIX n’a pas connaissance d’annonces publiques ou d’utilisations malveillantes de la vulnérabilité décrite dans cet avis. Cependant, il est recommandé de rechercher toute activité anormale sur les Bastions WALLIX qui sont connectés à WALLIX Access Manager. Il est notamment recommandé de rechercher des adresses IP inhabituelles utilisées par des utilisateurs privilégiés et susceptibles d’être utilisées par plusieurs comptes d’utilisateurs.SourceContrôles de sécurité internes
DÉCEMBRE 2021
Vulnérabilité d’exécution de code à distance dans Log4J (CVE-2021-44228)
RÉSUMÉL’équipe de sécurité d’Alibaba Cloud a publié le 9 décembre 2021 une vulnérabilité dans log4j, une bibliothèque de journalisation Java commune. (CVE-2021-44228) Cette vulnérabilité permet l’exécution de code à distance non authentifié sur les applications Java.Produits concernésToutes les versions de WALLIX Access ManagerSolutions de rechangeLa configuration par défaut de WALLIX Access Manager empêche l’exploitation de cette vulnérabilité sur le champ de connexion.Cependant, afin d’éviter toute possibilité d’exploitation en cas de modification de la configuration par défaut du WALLIX Access Manager, l’équipe WALLIX propose un correctif qui désactive la classe défectueuse de la bibliothèque log4j.Ce correctif s’applique à toutes les versions d’Access Manager à partir de la version 2.0.L’article suivant de notre base de connaissances vous fournit l’accès au patch ainsi que la procédure pour l’installer.https://support.wallix.com/s/article/CVE-2021-44228-Mitigation-procedureLogiciel fixeUne mise à jour de la version de Log4J est prévue en même temps que la version 3.0.11 de l’Access Manager.La publication de cette version est prévue pour la fin du mois de décembre 2021.Exploitation et annonces publiquesWALLIX n’a pas connaissance d’annonces publiques ou d’utilisations malveillantes de la vulnérabilité décrite dans cet avis. Cependant, il est recommandé de rechercher toute activité anormale sur les Bastions WALLIX qui sont connectés à WALLIX Access Manager. Il est notamment recommandé de rechercher la création de nouveaux utilisateurs ou de nouvelles autorisations, en particulier depuis la publication du CVE.SourceL’équipe de sécurité d’Alibaba Cloud a publié le 9 décembre 2021 une vulnérabilité dans log4j, une bibliothèque de journalisation Java commune. (CVE-2021-44228)
JANVIER 2021
Escalade de privilèges Sudo affectant les produits WALLIX – CVE-2021-3156
RÉSUMÉ
L’équipe de recherche Qualys a découvert une vulnérabilité de type débordement de tas dans sudo (CVE-2021-3156). Un utilisateur local non privilégié peut obtenir les privilèges de root sur un hôte vulnérable utilisant une configuration sudo par défaut en exploitant cette vulnérabilité.sudo ne peut être exploité que localement. Cela signifie que soit :
- L’utilisateur est connecté sur le Bastion WALLIX, via le compte wabadmin, sur l’interface d’administration. Cet utilisateur peut alors exploiter sudo pour devenir root et contourner toutes les sécurités de WALLIX Bastion.
- Une vulnérabilité d’exploitation de code à distance (RCE) existe dans un autre élément du logiciel WALLIX ou d’une tierce partie, qui fournit un shell local. Après avoir réussi à exploiter cette vulnérabilité, l’attaquant sera en mesure d’exploiter sudo pour devenir root. À la connaissance de WALLIX, un Bastion à jour ne présente pas cette vulnérabilité.
Produits concernés
- Toutes les versions antérieures à WALLIX Bastion 8.0.6 (incluse)
- Toutes les versions 8.1 et 8.2
Solutions de rechange
Il n’existe pas de solution de contournement à cette vulnérabilité.
Logiciel fixe
Cette vulnérabilité est corrigée à partir de WALLIX Bastion 8.0.7 et 7.0.14.
- Un correctif est disponible pour les versions 8.0.6 et antérieures (il s’applique aux versions 8.1 et 8.2).
- Un correctif est disponible pour les versions 7.0.13 et antérieures.
Ces éléments sont disponibles sur notre site de téléchargement : WALLIX Support : Patchs
Exploitation et annonces publiques
WALLIX n’a pas connaissance d’annonces publiques ou d’utilisations malveillantes de la vulnérabilité décrite dans cet avis.
Source
Le 26 janvier 2021, Qualys a rendu publique cette vulnérabilité dans un bulletin de sécurité à l’adresse suivante : https://blog.qualys.com
WALLIX SUPPORT & SERVICES
SUIVEZ-NOUS
