「BoKS Manager boks-server」の脆弱性 CVE-2026-79901

どんな危険があるか

Fortra BoKS Managerのkeytab管理を使用している環境において、Active Directoryサービスアカウントのパスワードが、現在のUnixタイムスタンプをシードとした予測可能な疑似乱数シーケンスから生成される脆弱性です。この脆弱性が悪用されると、攻撃者はサービスプリンシパルを知り、パスワード変更時間を推定することで、限られたパスワード候補セットを生成し、オフラインで検証することが可能になります。これにより、攻撃者はサービスアカウントのパスワードを特定し、Active Directory環境内で不正なアクセスや権限昇格を行う危険性があります。

今すぐやること

Fortra BoKS Managerの運用者は、boks-serverのバージョンが9.0.0.6未満である場合、速やかにFortraのセキュリティアドバイザリを確認し、対策を講じる必要があります。特に、Active Directoryサービスアカウントのパスワード管理において、予測困難な強固なパスワードへの変更を検討し、定期的なパスワード更新プロセスを見直してください。ベンダーから提供される修正プログラムやバージョンアップが公開されている場合は、これらを適用し、システムを最新の状態に保つことが重要です。