CVE-2025-13532
Weak Password Hash in Core Privileged Access Manager (BoKS)
Что произошло
Insecure defaults in the Server Agent component of Fortra's Core Privileged Access Manager (BoKS) can result in the selection of weak password hash algorithms. This issue affects BoKS Server Agent 9.0 instances that support yescrypt and are running in a BoKS 8.1 domain.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Upgrade to BoKS Server Agent 9.0.0.4.
3. Временные меры
Configure the OS to use SHA512 rather than yescrypt.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
Fortra / Core Privileged Access Manager (BoKS)
{
"status": "affected",
"version": "This issue affects BoKS Server Agent 9.0 instances that support yescrypt and are running in a BoKS 8.1 domain. The affected platforms are: Debian 11, 12, 13, RedHat 9, 10 and Ubuntu 24."
}CVSS: оценки и векторы
CVSS 3.1 · cve6.2
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Классы CWE
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve"
],
"epss": {
"source": "epss",
"received_at": "2026-11-02T21:08:34.228560+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-28T16:30:18.871491+00:00"
},
"scores": [
"cve"
],
"status": {
"source": "cve",
"received_at": "2026-10-28T16:30:18.871491+00:00"
},
"affected": [
"cve"
],
"published": {
"source": "cve",
"received_at": "2026-10-28T16:30:18.871491+00:00"
},
"solutions": [
"cve"
],
"percentile": {
"source": "epss",
"received_at": "2026-11-02T21:08:34.228560+00:00"
},
"references": [
"cve"
],
"description": {
"source": "cve",
"received_at": "2026-10-28T16:30:18.871491+00:00"
},
"workarounds": [
"cve"
],
"configurations": []
}Хронология записи
- Данные обновлены03.11.2026, 00:08
- Данные обновлены02.11.2026, 00:07
- Данные обновлены31.10.2026, 11:54
- Данные обновлены29.10.2026, 10:50
- Опубликована28.10.2026, 19:30
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-14316 Heap buffer overflow in boks_sshd revoked-key error handling Fortra / Core Privileged Access Manager (BoKS) | Высокий | 8.1 | 0,22 % | 01.10.2026 | ||
| CVE-2026-9864 Fortra BoKS Server Agent adjoin machine-account password generation vulnerability Fortra / Core Privileged Access Manager (BoKS) | Средний | 4.8 | 0,15 % | 01.10.2026 | ||
| CVE-2026-9862 Core Privileged Access Manager (BoKS) autoregistration service command injection vulnerability Fortra / Core Privileged Access Manager (BoKS) | Критический | 9.8 | 0,99 % | 15.06.2026 | ||
| CVE-2026-9863 Core Privileged Access Manager (BoKS) upgrade tooling command injection vulnerability Fortra / Core Privileged Access Manager (BoKS) | Высокий | 7.5 | 0,6 % | 15.06.2026 | ||
| CVE-2025-5141 Core Privileged Access Manager (BoKS) Leakage of Sensitive Data via the Cache Fortra / Core Privileged Access Manager (BoKS) | Средний | 5.5 | 0,14 % | 17.06.2025 |