Kerngegevens
- Leverancier
- Palo Alto Networks
- Soort software
- firewall
- Getroffen versies
- Idira Secrets Manager (Self-Hosted) vanaf 13.9 tot 13.9.1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Idira Secrets Manager (Self-Hosted) 13.9.1
- CVE gepubliceerd
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 15 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Idira Conjur versie 13.9.0 zit een fout in de controle van rechten. Een ingelogde gebruiker met beperkte rechten kan daardoor acties uitvoeren op een policy branch waarvoor die gebruiker geen toestemming hoort te hebben. Onder bepaalde omstandigheden kan een aanvaller zo geheimen (secrets) opvragen, de toegangsregels van de branch aanpassen of de dienst laten uitvallen (denial of service).
Wie loopt risico?
Je loopt risico als je Idira Conjur gebruikt, door de leverancier nu Secrets Manager – Self-Hosted genoemd (voorheen CyberArk Conjur Enterprise), in een versie vanaf 13.9 tot 13.9.1. Een aanvaller heeft wel een geldig account met beperkte rechten nodig en kan het lek via het netwerk misbruiken. Er is geen gebruikersinteractie voor nodig. Het lek staat niet op de lijst van actief misbruikte lekken.
Wat moet je doen?
Controleer je versie
Ga na of je Idira Conjur / Secrets Manager – Self-Hosted gebruikt en welke versie draait. Versies vanaf 13.9 tot 13.9.1 zijn getroffen.
Werk bij naar 13.9.1
Installeer versie 13.9.1 van de Secrets Manager-appliance, waarin dit lek is opgelost. Gebruik je de Kubernetes Follower en Operator, werk die dan bij naar 2.9.2. De leverancier verwijst in de release notes naar security bulletin CA26-38 voor de details.
Beperk toegang tot accounts
Tot je hebt bijgewerkt, kun je nagaan welke gebruikers en workloads een account met beperkte rechten hebben. Haal accounts weg die niet nodig zijn.
Controleer je policy branches
Kijk na de update of de toegangsregels en de toegang tot geheimen op je policy branches nog kloppen met wat je bedoeld hebt. Vervang geheimen als je vermoedt dat ze zijn ingezien.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een autorisatiefout (CWE-863, onjuiste autorisatie) in Idira Conjur 13.9.0. De controle op rechten voor acties op een policy branch is onvoldoende, waardoor een geauthenticeerde gebruiker met lage rechten acties kan uitvoeren die niet zijn toegestaan. Onder specifieke omstandigheden kan dit leiden tot het inzien van geheimen, het wijzigen van administratieve toegangsregels op de branch of een denial of service. De aanval verloopt via het netwerk, vraagt geen complexe voorwaarden en geen interactie van een gebruiker. De CVSS 4.0-score is 8,6, met vooral een hoge impact op vertrouwelijkheid en integriteit. Het lek is opgelost in versie 13.9.1.
CVSS-vector (versie 4.0, basisscore 8,6, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:N/AU:N/R:U/V:D/RE:M/U:Amber- Zwakheid (CWE)
- CWE-863 · Onjuiste autorisatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee