CVE-2025-32975criticalbajo ataqueCWE-287

CVE-2025-32975

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear KACE Systems Management Appliance

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

58Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Actcvss 10epss 2.5%
de la publicación al arma
Publicada en NVD24 jun
CISA KEV+300d
Acción exigida por CISAplazo federal: 2026-05-04

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Quest KACE SMA tiene una falla crítica en su sistema de inicio de sesión que permite a los atacantes hacerse pasar por usuarios reales sin necesidad de contraseñas. Esto puede dar a los atacantes control total sobre el dispositivo.

Detalle técnico

Un bypass de autenticación en el mecanismo SSO (CWE-287) permite que atacantes no autenticados se hagan pasar por usuarios legítimos y obtengan acceso administrativo. La vulnerabilidad afecta múltiples versiones y no requiere credenciales válidas, resultando en compromiso total del appliance.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Quest KACE Systems Management Appliance (SMA) 13.0.x before 13.0.385, 13.1.x before 13.1.81, 13.2.x before 13.2.183, 14.0.x before 14.0.341 (Patch 5), and 14.1.x before 14.1.101 (Patch 4) contains an authentication bypass vulnerability that allows attackers to impersonate legitimate users without valid credentials. The vulnerability exists in the SSO authentication handling mechanism and can lead to complete administrative takeover.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Productos afectados
n/a · n/a